如何将LDAP与Keycloak用户自动合并至YouTrack？

核心问题分析 #

你遇到的问题本质是YouTrack无法识别LDAP已有用户与Keycloak同步用户为同一实体：

• 禁用「用户创建」时，Keycloak登录的用户在YouTrack中无对应记录，直接触发hub-auth-login-failed错误
• 启用「用户创建」时，YouTrack无法匹配已有LDAP用户，因此生成带随机后缀的新用户名

关键配置步骤 #

1. 确保用户匹配字段完全一致 #

YouTrack识别同一用户依赖唯一标识字段，必须保证Keycloak同步到YouTrack的字段与LDAP用户的对应字段完全匹配：

• 优先使用email字段（通常是全局唯一的），确认Keycloak同步配置中已将LDAP的email字段映射到YouTrack的email属性
• 如果使用username，必须保证Keycloak同步的username与LDAP中的username完全相同，避免任何大小写、空格或格式差异

2. 配置YouTrack的用户合并规则 #

YouTrack支持基于唯一字段自动合并用户，需在Hub（YouTrack的用户管理后台）中配置：

1. 进入Hub管理界面，导航到用户 > 用户合并规则
2. 创建新规则，选择匹配条件为「用户的邮箱地址相同」或「用户名相同」（根据你的实际唯一标识字段选择）
3. 设置合并策略：将Keycloak创建的用户合并到已存在的LDAP用户中，保留LDAP用户的属性与权限

3. 调整Keycloak同步与YouTrack认证设置 #

• 在Keycloak的YouTrack客户端配置中，确保同步用户属性仅包含必要的唯一标识字段（如email、username），避免冗余字段干扰匹配
• 在YouTrack的Keycloak认证模块中，启用「用户创建」但同时开启用户匹配选项（部分版本中称为「自动关联已有用户」），让YouTrack在创建新用户前先检查是否存在匹配的LDAP用户

4. 处理已生成的带随机后缀用户 #

如果已经生成了带随机后缀的用户，可手动合并：

• 在Hub中找到Keycloak生成的用户和对应的LDAP用户
• 选择两个用户，点击合并按钮，设置主用户为LDAP用户，保留其所有数据

额外注意事项 #

• 确保Keycloak与LDAP的同步是单向或双向实时同步，避免用户属性出现差异
• 测试时使用一个测试用户，先通过LDAP登录创建用户，再通过Keycloak登录验证是否自动合并
• 若使用SSO登录，确认YouTrack的Keycloak认证模块中已正确配置issuer URL和client ID，确保用户信息能正确传递

内容的提问来源于stack exchange，提问作者yachpokin