密钥泄漏：身份代理时不要创建本地用户

Question

我正在使用keycloak作为SAML身份提供商的身份代理，以便登录到Web应用程序。

为了使其正常工作，我创建了新的身份验证流程，如下所示：“如果唯一则创建用户”，“自动链接经纪帐户”。

Keycloak使用登录页面正确重定向到身份提供者。登录后，身份提供商将按预期重定向到keycloak，然后再重定向到我的Web应用程序，但是keycloak还会创建本地用户。

是否可以在不创建本地用户的情况下使用外部IDP？

本地用户的问题：我具有“自定义用户联盟”实现，该实现从我的应用程序中获取用户，如果本地用户创建了它，则无法使用“自定义用户联盟”登录到密钥库。Keycloak只会尝试像本地用户一样登录。

Answer 1

不幸的是，目前无法跳过本地用户帐户的创建。据 Keycloak 团队称，他们推迟了支持，“因为我们计划对存储层进行一些更大的工作，这将使提供此功能成为可能”。请参阅功能请求https://issues.jboss.org/browse/KEYCLOAK-4429。