So erhalten Sie Keycloak-Benutzer über REST ohne Administratorkonto

Question

Gibt es eine Möglichkeit, eine Liste von Benutzern in einem Keycloak-Realm über REST OHNE mit einem Administratorkonto abzurufen? Vielleicht eine zuweisbare Rolle von der Admin-Konsole? Auf der Suche nach irgendwelchen Ideen.

Momentan verwende ich Admin-Anmeldedaten, um ein Zugriffstoken zu erhalten, und benutze dann dieses Token, um Benutzer vom realm/users-Endpunkt abzurufen.

Erste das Token (aus node.js App via request):

uri: `${keycloakUri}/realms/master/protocol/openid-connect/token`, 
form: { 
    grant_type: 'password', 
    client_id: 'admin-cli', 
    username: adminUsername, 
    password: adminPassword, 
} 

das Token verwenden:

uri: `${keycloakUri}/admin/realms/${keycloakRealm}/users`, 
headers: { 
    'authorization': `bearer ${passwordGrantToken}`, 
} 

Ich möchte allgemeine Benutzerinformationen verwenden können (Benutzernamen, E-Mails, Vollnamen) aus einer Client-Anwendung.

Answer 1

Sie müssen die view-users-Rolle vom realm-management-Client für den gewünschten Benutzer zuweisen. Das wäre die Konfiguration für den Anwender:

Dann können Sie alle Benutzer aus dem ${keycloakUri}/admin/realms/${keycloakRealm}/users Endpunkt greifen. Das ist die Info aus dem enpoint abgerufen, accesed über Postman:

Auch in keinem Zusammenhang mit der gestellten Frage, ich empfehlen Ihnen dringend, nicht grant_type=password zu verwenden, es sei denn, Sie absolutelly benötigen. Von den keycloak blog:

RESULT=`curl --data "grant_type=password&client_id=curl&username=user&password=password" http://localhost:8180/auth/realms/master/protocol/openid-connect/token` 

Das ist ein bisschen kryptisch und zum Glück ist dies nicht, wie Sie wirklich zu erhalten Tokens sein sollten. Tokens sollten von Webanwendungen erhalten werden, indem auf die Keycloak-Anmeldeseite umgeleitet wird. Wir machen das nur, damit wir den Dienst testen können, da wir noch keine Anwendung haben, die den Dienst aufrufen kann. Im Wesentlichen führen wir hier den OpenD Connect-Token-Endpoint Keycloaks mit dem Grant-Typ "password" aus, bei dem es sich um den Ressourceneigentümer-Berechtigungsfluss handelt, der den Austausch eines Benutzernamens und eines Kennworts für ein Token ermöglicht.

Siehe auch die Oauth2 spec.