keycloak-personal-access-tokens

✓What it can doできること5

• Let users create named personal access tokens (PATs) from the Account UI — scoped to chosen realm roles, revocable, with optional expiry.ユーザーがアカウント画面から、名前付きの個人アクセストークン（PAT）を作成できる。選んだrealmロールに限定でき、失効も可能で、有効期限も任意で設定できる
• Use PATs as passwords wherever HTTP Basic Auth is used (Maven/Docker/npm registries, IMAP) — services validate them against an /auth endpoint that returns the roles in X-Roles.HTTP Basic認証しか使えないサービス（Maven/Docker/npmレジストリ、IMAPなど）で、PATをパスワードとして使える。サービスは /auth エンドポイントで検証し、ロールは X-Roles ヘッダーで返る
• Let Keycloak enforce a required role (X-Required-Role → 403); examples for nginx, Traefik forwardAuth and Spring Boot.必要なロールのチェックをKeycloak側に任せられる（X-Required-Role → 403）。nginx・Traefik forwardAuth・Spring Bootでの利用例あり
• Use PATs in the direct-grant (password) flow via a dedicated authenticator and roles token mapper.専用のAuthenticatorとロールのトークンマッパーで、ダイレクトグラント（パスワード）フローでもPATを使える
• Tokens are shown once and stored only as Argon2id hashes.トークンは作成時に1度だけ表示され、保存されるのはArgon2idのハッシュのみ