如何从Keycloak将用户属性导入Alfresco Content Service？

1. 如何从Keycloak将firstName、lastName、email等用户属性导入Alfresco Content Service？ #

通过Keycloak作为身份提供商的SAML或OpenID Connect（OIDC）协议，配置属性断言映射实现：

• 在Keycloak的客户端配置中，将firstName、lastName、email等属性加入SAML断言（或OIDC的ID Token/用户信息响应），确保这些属性被包含在返回给ACS的身份凭证里。
• 在ACS端配置属性映射规则，把Keycloak返回的属性关联到Alfresco内置的用户属性（如cm:firstName、cm:lastName、cm:email）。

2. 无需LDAP直接从Keycloak同步属性的方法 #

存在直接同步方案，无需依赖LDAP：

• 基于OIDC/SAML的实时属性同步：用户首次登录ACS时，系统会自动从Keycloak获取身份断言中的属性并创建/更新Alfresco用户记录；后续登录可配置为自动同步属性变更（需在ACS中开启属性刷新机制）。
• 自定义扩展脚本：通过Alfresco的Java扩展或JavaScript行为，在用户登录事件触发时调用Keycloak的用户信息API拉取最新属性并更新Alfresco用户，但这种方式需要额外开发，优先推荐使用协议内置的属性映射。

3. 配置文件的修改要求 #

需要修改以下配置文件来实现属性映射：

• alfresco-global.properties：添加OIDC/SAML相关的属性映射配置，例如OIDC模式下：

  oauth.user.attribute.mappings=firstName=given_name,lastName=family_name,email=email
  oauth.sync.user.attributes=true
  

  SAML模式下则配置对应断言的属性映射规则。
• share-config-custom.xml：在<authenticator>节点下配置前端显示的属性映射，确保Share界面能正确展示同步后的用户属性，示例：

  <user-name>
      <username>${user.properties.userName}</username>
      <first-name>${user.properties.firstName}</first-name>
      <last-name>${user.properties.lastName}</last-name>
      <email>${user.properties.email}</email>
  </user-name>
  

内容的提问来源于stack exchange，提问作者Bhavnesh Neema