Сам только учусь - исходя из того что есть в нашем проекте и нашел на инете...
Сделайте так, чтобы Keycloak создавал JWT для авторизации. Т.е. в Keycloak будет не только аутентификация, но и роли\группы хранится. Таким образом Security Manager будет создавать роли в Keycloak (а пермишины? не уверен - может их создавать в базе отдельно), а все последущие коммуникации между сервисами будут включать JWT полученный после аутентификации юзера в Keycloak, т.о. сервисы будут вытаксивать авторизацию из переданного JWT перед выполнением какого-то действия.
Пермишаны наверное можешь хранить отдельно от ролей в какой-то базе - можешь кешировать ее для скорости, т.к. запросов к ней от микросервисов будет много, может даже Redis подойдет.
И да, не совсем понимаю, зачем всегда использовать Кафку - у нас микросервисы некоторые общаются и напрямую по HTTP, можно также и через Grpc. Если в Кубере можешь поставить изоляции - network policies.