从OpenId服务器使用外部声明

Question

我正在尝试将Keycloak用作我的ASP.Net核心应用程序的OpenId服务器。

几乎可以。用户获得授权（通过[Authorize]属性），但他的声明是空的。

我的配置：

  services.AddAuthentication(options => { options.DefaultScheme = "cookie"; })
    .AddCookie("cookie")
    .AddOpenIdConnect("oidc", options =>
    {
      options.Authority = "http://localhost:8080/auth/realms/master/";
      options.RequireHttpsMetadata = false;
      options.ClientId = "test-client";
      options.ClientSecret = "ee117d6d-25c9-4317-83a0-54c2f252aa89";
      options.GetClaimsFromUserInfoEndpoint = true;
      options.SaveTokens = true;
      options.RemoteSignOutPath = "/SignOut";
      options.SignedOutRedirectUri = "Redirect-here";
      options.ResponseType = "code";
    });

一个工作正常的控制器动作（获得授权）：

[Authorize]
public IActionResult About()
{
  ViewData["Message"] = "Your application description page.";

  return View();
}

未经授权的控制器操作（因为它需要一个角色）：

[Authorize(Roles = "Administrators")]
public IActionResult About()
{
  ViewData["Message"] = "Your application description page.";

  return View();
}

AccountController.ExternalLoginCallback：

public async Task<IActionResult> ExternalLoginCallback(string returnUrl = null, string remoteError = null)
{
  if (remoteError != null)
  {
    ErrorMessage = $"Error from external provider: {remoteError}";
    return RedirectToAction(nameof(Login));
  }
  var info = await _signInManager.GetExternalLoginInfoAsync(); // it has claims
  if (info == null)
  {
    return RedirectToAction(nameof(Login));
  }

  var result = await _signInManager.ExternalLoginSignInAsync(info.LoginProvider, info.ProviderKey, isPersistent: false, bypassTwoFactor: true);

  if (result.Succeeded)
  {
    _logger.LogInformation("User logged in with {Name} provider.", info.LoginProvider);
    return RedirectToLocal(returnUrl);
  }
  if (result.IsLockedOut)
  {
    return RedirectToAction(nameof(Lockout));
  }
  else
  {
    ViewData["ReturnUrl"] = returnUrl;
    ViewData["LoginProvider"] = info.LoginProvider;
    var email = info.Principal.FindFirstValue(ClaimTypes.Email);
    return View("ExternalLogin", new ExternalLoginViewModel { Email = email });
  }
}

来自以上片段的qazxsw poi对象具有声明，特别是角色声称：

info

但是当我登录并尝试查看角色和蛤蜊时，它们是emtpy：

所以它看起来像Keycloak做得很好，但我的应用程序有消费索赔的问题。

我错过了什么？

Answer 1

您需要配置身份验证提供程序，以便它知道要用于角色的声明类型。

您可以按如下方式配置它：

var user = await _signInManager.UserManager.GetUserAsync(HttpContext.User); // user is found
var roles = await _signInManager.UserManager.GetRolesAsync(user); // empty
var claims = await _signInManager.UserManager.GetClaimsAsync(user); //empty