如何基于Keycloak Phase Two配置组织级IDP登录

核心思路 #

利用PhaseTwo与Keycloak的组织关联特性，结合客户端配置或动态API调用，实现基于组织自动匹配对应IDP，避免硬编码idpHint。

方案1：组织-客户端绑定（最简便） #

PhaseTwo支持将组织与特定Keycloak客户端绑定，每个网站对应一个专属客户端，该客户端关联对应组织的IDP配置。

配置步骤

1. 在PhaseTwo后台为organization1创建客户端client-org1，并将其关联的默认IDP设置为Google；
2. 为organization2创建客户端client-org2，关联的默认IDP设置为GitHub；
3. 两个网站分别使用各自的客户端ID初始化Keycloak。

代码示例（Angular）

import { KeycloakService } from 'keycloak-angular';

// 网站1（对应organization1）的初始化
async initKeycloakForOrg1() {
  await this.keycloakService.init({
    config: {
      url: 'https://your-keycloak-domain/auth',
      realm: 'your-realm',
      clientId: 'client-org1' // 对应organization1的客户端
    },
    initOptions: {
      onLoad: 'login-required'
    }
  });
}

// 网站2（对应organization2）的初始化
async initKeycloakForOrg2() {
  await this.keycloakService.init({
    config: {
      url: 'https://your-keycloak-domain/auth',
      realm: 'your-realm',
      clientId: 'client-org2' // 对应organization2的客户端
    },
    initOptions: {
      onLoad: 'login-required'
    }
  });
}

此方案下，用户登录时Keycloak会自动加载对应组织绑定的IDP，无需额外指定idpHint。

方案2：动态获取组织IDP并设置idpHint #

若需共用一个客户端，可通过PhaseTwo/Keycloak API根据组织ID动态获取对应IDP，再设置idpHint。

实现步骤

1. 后端封装接口，调用Keycloak Admin API获取指定组织关联的IDP别名；
2. 前端根据当前网站对应的组织ID，调用后端接口获取IDP别名；
3. 登录时动态传入idpHint。

代码示例（Angular）

import { KeycloakService } from 'keycloak-angular';
import { HttpClient } from '@angular/common/http';

constructor(private keycloakService: KeycloakService, private http: HttpClient) {}

async loginWithOrg(orgId: string) {
  // 调用后端接口获取组织对应的IDP别名
  const idpAlias = await this.http.get<string>(`/api/organizations/${orgId}/default-idp`).toPromise();
  
  // 动态设置idpHint完成登录
  await this.keycloakService.login({
    idpHint: idpAlias,
    redirectUri: window.location.origin + '/auth-callback'
  });
}

后端接口逻辑（伪代码）

// 调用Keycloak Admin API获取组织IDP
String getIdpAliasForOrg(String orgId) {
  // 请求路径：/admin/realms/{realm}/organizations/{orgId}/identity-providers
  List<IdentityProvider> idps = keycloakAdminClient.realms()
    .realm("your-realm")
    .organizations()
    .organization(orgId)
    .identityProviders()
    .list();
  
  // 返回组织的默认IDP别名（可根据PhaseTwo配置筛选）
  return idps.stream()
    .filter(idp -> idp.isDefault())
    .findFirst()
    .map(IdentityProvider::getAlias)
    .orElseThrow(() -> new RuntimeException("No IDP found for organization"));
}

方案3：自定义Keycloak认证流程 #

通过Keycloak的脚本执行器，在认证流程中根据请求中的组织标识自动路由到对应IDP。

配置步骤

1. 在Keycloak后台的认证流程中，添加一个脚本执行器步骤；
2. 编写脚本逻辑，根据请求参数中的组织ID匹配对应IDP并跳转；
3. 前端登录时传入组织标识参数。

脚本示例（Keycloak认证脚本）

// 从请求参数中获取组织ID
var orgId = session.getContext().getRequestParameters().get('org');
if (!orgId) return;

// 根据组织ID映射对应的IDP别名（可从数据库/配置中读取）
var idpAliasMap = {
  "organization1": "google-idp",
  "organization2": "github-idp"
};
var targetIdpAlias = idpAliasMap[orgId];
if (!targetIdpAlias) return;

// 获取IDP并跳转
var idp = realm.getIdentityProviderByAlias(targetIdpAlias);
if (idp) {
  authentication.redirect(idp.getConfig().getAuthorizationUrl());
}

前端登录代码

async loginWithOrg(orgId: string) {
  await this.keycloakService.login({
    extraParams: {
      org: orgId // 传入组织标识
    },
    redirectUri: window.location.origin + '/auth-callback'
  });
}

内容的提问来源于stack exchange，提问作者Prifulnath