如何在Keycloak中实现通用Microsoft账号登录功能？

问题根源 #

你之前用Azure企业应用的方式绑定了自己的租户，这就导致只有你租户内的用户能登录。要实现像Stack Overflow那样任意Microsoft账号（个人/其他租户企业账号）登录，得用Azure AD应用注册，而非企业应用。

正确配置步骤 #

1. Azure端创建通用应用注册 #

• 登录Azure门户，进入「Azure Active Directory」→「应用注册」→「新注册」
• 名称：填一个辨识度高的名称（比如“Keycloak通用微软登录”）
• 支持的账户类型：选择「任何组织目录中的账户和个人Microsoft账户（例如Skype、Xbox）」——这是核心设置，直接决定能否支持全范围Microsoft账号登录
• 重定向URI：选择「Web」，填入Keycloak的Microsoft回调地址，格式为https://<你的Keycloak域名>/realms/<你的Realm名称>/broker/microsoft/endpoint
• 注册完成后，记录好「应用程序（客户端）ID」和「目录（租户）ID」（不用留空，这个ID是通用配置的标识，不会限制登录租户）

2. 生成客户端密钥 #

• 进入应用注册的「证书和密码」→「客户端密码」→「新客户端密码」
• 设置过期时间，生成后立刻复制密钥值（只会显示一次，务必保存）

3. Keycloak端配置身份提供商 #

• 登录Keycloak后台，进入你的Realm→「身份提供商」→「添加提供商」→选择「Microsoft」
• 填写核心参数：
  • Client ID：Azure应用注册的客户端ID
  • Client Secret：刚才生成的客户端密钥
  • Tenant ID：填入Azure应用注册的租户ID（不是留空，新版Azure通用账户类型必须填写此ID）
  • 其余参数保持默认，按需调整即可
• 保存配置后测试登录，此时应该允许任意Microsoft账号（个人或其他租户企业账号）登录

已有用户映射设置 #

要将Microsoft登录标识关联到系统内的现有用户，需配置身份提供商映射：

• 在Microsoft身份提供商的配置页面，切换到「映射」标签
• 点击「添加映射」，选择「用户属性」或「组」，将Microsoft返回的属性（比如email、sub）映射到Keycloak用户的对应属性
• 务必在「配置」标签中开启「链接现有用户」选项——这样用户用Microsoft登录时，若Keycloak中已有相同邮箱的用户，会自动关联，不会新建用户

常见误区提醒 #

• 不要使用Azure企业应用：企业应用是租户专属应用，登录范围受限；应用注册才是面向全Microsoft账号的通用配置
• 租户ID无需留空：旧版配置可能允许留空，但新版Azure中选择通用账户类型后，必须填写注册生成的租户ID
• 必须开启用户链接：未开启的话，每个Microsoft登录都会新建用户，无法关联现有账号

原生支持说明 #

Keycloak原生完全支持这种通用登录和用户映射功能，不需要自定义认证流程或扩展提供商，按上述步骤配置即可实现需求。

内容的提问来源于stack exchange，提问作者KristianMedK