Keycloak LDAP同步异常：本地同名用户无法关联LDAP用户

自动关联配置（满足自动同步/关联需求） #

Keycloak默认不会自动匹配本地用户与LDAP同名用户，需调整以下核心配置：

1. 修改LDAP存储同步策略
   • 进入目标Realm → 用户存储 → 选中你的LDAP提供商
   • 切换到同步标签页：
     • 将「用户创建策略」从CREATE_IF_NOT_EXISTS改为UPDATE_EXISTING
     • 确认「用户名匹配模式」设为username（对应你已配置的sAMAccountName映射）
     • 开启「允许关联已存在用户」（部分版本叫「链接已有本地用户」）
   • 保存后点击「同步所有用户」触发同步
2. 确认UUID映射配置
   • 在LDAP提供商的设置标签页，确保「用户UUID LDAP属性」为sAMAccountName，「UUID类型」选择STRING
   • 此配置让Keycloak以用户名作为唯一标识，而非默认的objectGUID，才能匹配本地与LDAP用户

手动关联方法（无冲突关联需求） #

若自动配置不生效，可通过两种方式手动关联：

控制台操作 #

1. 进入Realm → 用户 → 找到目标本地用户（如alabolaya）
2. 进入用户详情的身份验证标签页
3. 点击「添加身份验证」，选择你的LDAP提供商
4. 输入LDAP对应用户的sAMAccountName（即alabolaya），保存即可

   提示：若提示用户不存在，先确认LDAP用户已同步到Keycloak存储（用户列表「存储」列可查看LDAP标识）

Admin API操作 #

调用Keycloak用户关联API，示例请求：

curl -X POST \
  http://<keycloak地址>/auth/admin/realms/<Realm名称>/users/<本地用户ID>/federated-identity/<LDAP提供商ID> \
  -H "Authorization: Bearer <管理员Token>" \
  -H "Content-Type: application/json" \
  -d '{"userId": "alabolaya"}'

• <本地用户ID>：从用户详情页获取的Keycloak本地用户ID
• <LDAP提供商ID>：用户存储页面的「供应商ID」字段值
• 执行后重新同步LDAP用户即可完成关联

数据库层面关联的正确操作（修正你之前的尝试） #

直接修改数据库未生效是因为缺少完整关联步骤，正确操作如下：

1. 从user_federation_provider表获取你的LDAP提供商ID（记为fed_id）
2. 从user_entity表获取本地用户alabolaya的ID（记为local_user_id）
3. 插入关联记录：

   INSERT INTO federated_user (user_id, federation_provider_id, federated_user_id)
   VALUES ('local_user_id', 'fed_id', 'alabolaya');
   

4. 更新用户关联字段：

   UPDATE user_entity SET federation_link = 'fed_id/alabolaya' WHERE id = 'local_user_id';
   

5. 重启Keycloak或清除用户缓存（控制台 → Realm → 缓存 → 清除用户缓存）

   注意：直接修改数据库有风险，操作前务必备份！

内容的提问来源于stack exchange，提问作者Arshak Ahamed