如何通过Keycloak Admin API批量重置特定用户临时密码？

用Keycloak Admin API实现批量操作 #

没错，PUT /admin/realms/{realm}/users/{id}/reset-password确实是单用户接口，但完全可以通过循环遍历目标用户列表完成批量操作，步骤如下：

1. 先调用GET /admin/realms/{realm}/users接口，用查询参数过滤出特定组织的目标用户——比如用q参数匹配组织属性，或groups参数关联对应组织分组，批量获取用户ID。
2. 对每个用户ID，依次调用reset-password接口，请求体设置统一临时密码并开启强制重置：

   {
     "type": "password",
     "value": "TempPass123!",
     "temporary": true
   }
   

   其中temporary: true就是让用户下次登录必须修改密码的核心配置。

直接修改数据库字段的方式（不推荐） #

Keycloak官方不建议直接操作数据库，容易引发缓存不一致、数据同步问题，但如果非要这么做，关键字段如下：

• 密码存储：user_entity表的credential_hash（密码哈希值）和credential_salt（盐值）——需先将临时密码按Keycloak默认的PBKDF2算法生成对应哈希和盐，再更新这两个字段。
• 强制改密码开关：user_entity表的required_actions字段，在该JSON数组中添加UPDATE_PASSWORD，比如将原字段值[]改为["UPDATE_PASSWORD"]。

重点提醒 #

• 优先使用Admin API方案，直接修改数据库大概率会埋下后续登录异常的隐患。
• 批量调用API时注意控制请求频率，避免触发Keycloak的限流机制。

内容的提问来源于stack exchange，提问作者Paulo Henrique