多租户环境下基于Keycloak的SAML配置与SSO实现问题咨询

针对你的多租户SPA场景，Keycloak完全可以实现你需要的「动态显示租户专属IdP」和「邮箱域名匹配自动跳转IdP」的功能，以下是具体实现方案：

一、通过tenant参数动态控制登录界面显示的IdP #

如果你希望通过?tenant=tenant1这类请求参数来只展示对应租户的企业IdP，可通过自定义登录主题实现：

1. 复制并修改默认登录主题
   • 从Keycloak的主题目录（通常为/opt/keycloak/themes）复制默认的keycloak主题，重命名为自定义主题（比如multi-tenant-login）。
   • 编辑主题下的login/login.ftl模板，通过Freemarker语法获取请求中的tenant参数：

     <#assign tenantParam=request.getParameter('tenant')>
     

   • 根据tenantParam的值，从Keycloak后台接口或提前配置的租户-IdP映射中获取该租户对应的IdP列表，仅渲染这些IdP的登录按钮，同时保留本地登录和社交提供商的入口。
2. 允许自定义参数传递
   • 在Keycloak管理控制台的目标客户端设置中，进入「Advanced」标签页，在「Allowed Query Parameters」中添加tenant，确保该参数能被Keycloak接收并传递到登录页面。
3. 关联租户与IdP
   • 可在Keycloak的Realm属性或自定义属性中，维护租户Id与对应IdP别名的映射关系，方便主题模板中查询匹配。

二、实现类似logto的邮箱域名匹配IdP功能 #

Keycloak内置的**身份提供商发现（Identity Provider Discovery）**功能可以直接实现「用户输入邮箱后自动匹配对应企业IdP」的需求，无需提前展示所有IdP：

1. 启用身份提供商发现
   • 进入Keycloak管理控制台的目标Realm，依次点击「Identity Providers」→「Discovery」，勾选「Enable Identity Provider Discovery」。
2. 为企业IdP配置域名映射
   • 针对每个客户的AD（已配置为Keycloak的SAML身份提供商），进入该IdP的设置页面，在「Domain」字段中添加客户的邮箱域名（比如@customerA.com），支持添加多个域名。
3. 调整登录流程
   • 修改自定义登录主题，让登录页面先显示邮箱输入框，用户提交邮箱后，Keycloak会自动匹配对应的IdP并跳转至该IdP的登录页面；如果没有匹配到对应域名，则显示本地登录和社交提供商的入口。
   • 也可以直接使用Keycloak默认的发现流程，无需修改主题：启用发现后，默认登录页面会先要求输入邮箱，再自动跳转匹配的IdP。

三、对两种初始方案的补充说明 #

• 方案1（专用客户端）：确实不符合单一前端的多租户需求，子域名+独立客户端的方案会增加运维复杂度，推荐用上述两种方案替代。
• 方案2（全部IdP显示）：通过自定义主题或身份提供商发现功能，完全可以避免所有企业IdP在登录界面暴露，仅展示当前租户或匹配邮箱域名的IdP。

内容的提问来源于stack exchange，提问作者momo