я знаю sql на примитивном уровне, здесь сложный момент. ... и можно ответить более развернуто, чем так, как вы сейчас - подсказать что такое аггрегирующие функции итд... что они требуют и возвращают, подсказать направление.
а мне кажется "Нам не надо чтоб каждый сервис видел все роли, значит мы приделаем к нему признак сервиса в кейклоке" - это плохое решение. Зачем запись в кейклоке должна зависеть от сервиса - вообще привязывать авторизацию к зависимости от сервиса - неправильно. Авторизация должна быть по ролям и разрешениям. Сделайте отдельно сервис авторизации - как отдельный сервис (svc) в кубернетесе. Все запросы будут проходить черезе него.
