用KeyCloak确保Solr Admin仪表板作为IDP

Question

我们正在尝试保护Solr 8.11仪表板。在这种情况下，KeyCloak用作IDP。所有查询（选择，更新等）都应在没有任何登录屏幕的情况下访问。

solr Security.xml看起来像这样：

{
  "authentication":{
    "class": "solr.JWTAuthPlugin",
    "blockUnknown": false,
    "scope": "openid",
    "wellKnownUrl": "http://keycloak.fqdn.com:8080/auth/realms/My-Realm/.well-known/openid-configuration",
    "clientId": "Solr-auth",
    "rolesClaim": "roles"
  },
  "authorization":{
    "class":"solr.ExternalRoleRuleBasedAuthorizationPlugin", 
    "permissions":[{"name":"core-admin-read",
      "role":"profile"}] 
  }
}

这是迄今为止的工作，但似乎还不太正确。请注意我必须如何将“配置文件”指定为角色。如果我将“ solr-admin”作为角色，我在登录时从solr中获得以下错误消息：

The principal JWTPrincipalWithUserRoles{username='******************************', token='*****', claims={exp=1651702368, iat=1651680768, auth_time=1651680768, jti=************************************, iss=http://keycloak.fqdn.com:8080/auth/realms/My-Realm, aud=account, sub=********************************, typ=Bearer, azp=Solr-auth, nonce==************************************,, session_state==************************************,, acr=1, allowed-origins=[http://solr.fqdn.com:9991], realm_access={roles=[MyCustomRole1,MyCustomRole2, MyCustomRole3, solr-admin, MyCustomRole4]}, resource_access={account={roles=[manage-account, manage-account-links, view-profile]}}, scope=openid profile email, email_verified=false, preferred_username=testuser, [email protected]}, roles=[profile, email]} does not have the right role 

我的用户（Testuser）已将其分配给一些不同的角色。 （就像mycustomrole1一样）我还创建了角色“ solr-admin”，并将我的用户分配给了这个角色。但是以某种方式，JWT令牌中有“角色= [profile，email]”。因此，我必须将配置文件或电子邮件发送到Solr Security.xml中。每个KeyCloak用户都是两个角色的成员。

是否有一种方法，如果Security.xml具有solr-admin而不是配置文件作为角色名称，solr允许登录？