如何在Keycloak中更新联邦用户的邮箱？

出于测试目的，尝试通过Keycloak管理控制台更新联邦用户的邮箱，但操作并不简单——用户的Email字段在UI中处于禁用状态，无法启用。已尝试以下操作但无效果：

• 禁用LDAP映射器
• 调整领域的Edit username属性
• 在Realm settings > User profile > Edit attribute标签页修改Who can edit?和Who can view?权限

请问遗漏了什么？

以下是你可能遗漏的关键配置项：

1. 检查LDAP用户存储的「编辑模式」 #

Keycloak的LDAP用户存储默认可能设置为READ_ONLY，这会禁止修改任何从LDAP同步过来的属性（包括邮箱）。需要修改为以下模式之一：

• WRITABLE：允许修改并同步回LDAP服务器
• UNSYNCED：允许在Keycloak本地修改，不同步回LDAP（适合测试场景）

操作路径：User Federation > 你的LDAP存储 > Settings，找到Edit Mode选项调整。

2. 检查邮箱属性的LDAP映射器「只读」设置 #

即使你禁用了映射器，若之前的映射器配置了「只读」，用户属性可能仍被标记为不可编辑。重新启用映射器后，确保Read Only选项未被勾选：
操作路径：User Federation > 你的LDAP存储 > Mappers > 邮箱映射器，取消Read Only的勾选。

3. 确认用户属性的「来源优先级」 #

在Realm settings > User profile > Attributes > Email配置中，除了权限设置，还要检查Attribute sources：

• 如果邮箱属性的来源仅包含LDAP存储，即使开启编辑权限，Keycloak仍会优先遵循LDAP的只读限制
• 可添加Local作为来源，并调整优先级，允许本地覆盖LDAP属性

4. 切换用户存储的「同步模式」（针对导入类存储） #

如果你的LDAP用户存储设置为IMPORT模式，导入后的用户仍会与LDAP保持同步。可尝试：

• 将Sync Mode改为IMPORT_ONCE，仅首次登录导入，之后允许本地修改
• 或手动将用户转为「本地用户」：在用户详情页，点击Actions > Convert to local user（部分版本可能在Federation标签页操作）

5. 清除Keycloak缓存 #

配置修改后缓存未刷新可能导致设置不生效，可通过以下方式清除：

• 重启Keycloak服务
• 在管理控制台Realm settings > Cache页面，点击Clear cache按钮

内容的提问来源于stack exchange，提问作者mr.nothing