Keycloak 26 配置

新建/选择 Realm：进入目标 Realm（例如 my-realm）。
创建 Client：
- Client type: OpenID Connect
- Client ID: demo-jenkins
- 点击 Next，开启 Client authentication（即 Confidential 模式），保存。
设置重定向 URL：
- 在 Client 详情的 Settings 选项卡下配置：
  - Valid redirect URIs: http://<your-jenkins-ip-or-domain>:8080/securityRealm/finishLogin
  - Web origins: http://<your-jenkins-ip-or-domain>:8080
获取 Client Secret：
- 切换到 Credentials 选项卡，复制 Client Secret。
添加 Groups Mapper（用于权限映射，可选，这里没用到，下面用的是User Client Role）：
- 切换到 Client scopes -> 点击 demo-jenkins-dedicated -> Configure new mapper -> 选择 Group Membership。
- Name: groups
- Token Claim Name: groups
- 确保开启 Add to user info 和 Add to ID token。

注意事项

组和权限控制：建议配合 Matrix Authorization Strategy Plugin 或 Role-based Authorization Strategy 插件，使用 Keycloak 返回的 groups 或用户映射 Jenkins 角色。
安全回退：在配置保存前，务必保留一个打开的管理页面，或确保已配置救砖工具（如通过修改 config.xml 中 <useSecurity>true</useSecurity> 禁用安全），避免配置失误导致锁死。
虚拟机建议先打快照

Jenkins 安装与切换插件

进入 Manage Jenkins -> Plugins -> Available plugins。
搜索并安装 Keycloak Authentication Plugin (keycloak)，安装后重启 Jenkins。
进入 Manage Jenkins -> Security。
在 Security Realm 处选择 Keycloak Authentication Plugin。

获取 Keycloak 的 JSON 配置文件

keycloak-plugin 不需要手动一项项填 Endpoint，直接导入 Keycloak 生成的适配器 JSON 即可：

登录 Keycloak 管理后台，进入 Realm my-realm。
点击 Clients -> 选择 demo-jenkins 客户端。
确保客户端配置：
- Client authentication: ON (Confidential)
- Valid redirect URIs: http://:8080/securityRealm/finishLogin 或 http://:8080/*
在右上角或 Action 菜单中找到 Download adapter config
Format / Option 选择 Keycloak OIDC JSON。
点击 Download 或直接复制显示的 JSON 文本。

jenkins页面不要退出，因为使用keycloak用户登陆会没权限

配置用户管理员权限

Keycloak 组同步到Jenkins

说明：默认使用keycloak 登陆到jenkins 会没有权限
这里以组名为 backend-dev 进行权限配置，在jenkins role-strategy 将 backend-dev 加入group，勾选了全局read 权限，这样使用keycloak用户登陆，就有简单的dashboard权限，不会报Access Denied，user 没有全部/Read权限。