如何通过Keycloak API批量查询用户时跳过LDAP请求？

以下是几个无需临时禁用LDAP的可行方案：

1. 配置Keycloak用户存储缓存 #

Keycloak默认对LDAP用户有缓存机制，但默认配置可能不足以支撑批量查询。调整LDAP用户存储的缓存参数，让Keycloak优先从缓存读取用户数据，避免频繁请求LDAP：

• 在Keycloak管理控制台进入目标Realm的用户存储，找到对应的LDAP提供者
• 调整缓存相关配置：
  • 设置User Cache TTL（用户缓存过期时间）为合适的值，比如3600秒（1小时）
  • 增大Max Users in Cache（缓存最大用户数），确保能容纳批量查询的用户量
  • 将Cache Policy设为DEFAULT或MAX_LIFESPAN，确保缓存有效
• 配置后，批量查询时Keycloak会先从缓存获取用户，仅当缓存过期或不存在时才请求LDAP，大幅减少LDAP请求量

2. 直接查询Keycloak底层数据库 #

Keycloak会将LDAP用户的核心信息同步到自身数据库中（只读LDAP模式下默认开启同步），可以直接查询数据库获取用户列表：

• 连接Keycloak数据库（如PostgreSQL、MySQL），执行SQL查询：

-- 查询核心用户信息
SELECT u.id, u.username, u.email, u.enabled
FROM user_entity u
WHERE u.realm_id = '你的RealmID';

-- 如果需要自定义属性，关联user_attribute表
SELECT u.id, u.username, a.name, a.value
FROM user_entity u
JOIN user_attribute a ON u.id = a.user_id
WHERE u.realm_id = '你的RealmID';

• 注意：需确保数据库访问权限，且不同Keycloak版本的表结构可能略有差异，需适配对应版本

3. 使用Keycloak批量导出/优化API查询 #

通过Keycloak的官方工具或优化API参数，减少LDAP请求次数：

• 使用kcadm.sh命令行工具：该工具针对批量操作做了优化，不会逐个请求LDAP

  # 导出指定Realm的用户列表（可指定字段）
  ./kcadm.sh get users -r your-realm --fields id,username,email --format csv > users.csv
  

• 优化REST API请求：调用用户列表API时，添加max参数设置较大的批量大小（如1000），并启用briefRepresentation=true减少返回字段，Keycloak会优化查询逻辑：

  GET /auth/admin/realms/your-realm/users?max=1000&briefRepresentation=true
  

4. 自定义LDAP用户存储提供者（进阶） #

如果以上方案无法满足需求，可以自定义LDAP存储提供者，重写批量查询逻辑：

• 继承Keycloak的LDAPUserStorageProvider类，重写getUsers或searchForUser方法
• 在自定义方法中使用LDAP的批量搜索API（如SearchControls设置合适的范围和大小限制），一次性从LDAP获取所有匹配的用户数据
• 将自定义提供者打包为JAR，部署到Keycloak的providers目录，重启后配置使用该提供者

内容的提问来源于stack exchange，提问作者nickolay.laptev