Keycloak：如何在不重定向的情况下登录到另一个Keycloak实例的领域？

Question

我们有两个 Keycloak 实例：

• Keycloak-A：公开可用
• Keycloak-B：可通过 VPN 使用

两个实例可以直接相互通信，没有任何限制。

是否可以使用公共 Keycloak-A 中的登录表单作为 Keycloak-B 中的用户登录？
通过将 Keycloak-B 添加为 Keycloak-A 上的 IDP，登录请求将被重定向到 Keycloak-B。

无法将领域从 Keycloak-B 导出到 Keycloak-A。

是否可以使用 Keycloak-B 用户登录而无需在 Keycloak-A 上重定向？

Answer 1

Keycloak 允许设置不同的用户存储来检索用户凭据。这称为用户存储联合。开箱即用的 Keycloak 支持 LDAP / Active Directory。如果您的 Keycloak-B 已经从 LDAP 或 AD 等其他源检索其用户信息，那么在 Keycloak-A 和其他源之间建立安全连接也是最简单的。

如果您的组织直接使用 Keycloak-B 的 H2 数据库来保存所有用户凭据，并且出于某种原因不想设置 LDAP 或类似的，我只看到您尝试为Keycloak实现自己的自定义用户存储 SPI的可能性 - A 从 Keycloak-B 检索此用户数据。