如何在同一Keycloak Realm中为每个SAML Client配置唯一端点？

问题背景 #

需要在Keycloak同一Realm下为同一个外部SP（统一Issuer为https://test.net/）创建多个SAML Client，分别供Entity A、Entity B使用，但默认Keycloak依赖Client ID与SP的Issuer匹配，导致无法创建多Client，或创建后Issuer不匹配中断流程。需要实现类似Azure AD/Okta的专属端点机制，让Keycloak通过端点路径识别对应Client，而非单纯依赖Issuer。

解决方案 #

Keycloak支持通过Client路径参数实现专属SAML端点，具体配置步骤如下：

1. 创建第一个SAML Client（Entity A） #

• 进入Realm的Clients页面，点击Create client，选择saml类型
• Client ID设置为唯一标识（无需与SP Issuer一致），例如https://test.net/entity-a
• 配置SP所需基础项：
  • Valid Redirect URIs：填入SP的回调地址（如https://test.net/callback）
  • Force POST Binding：根据SP需求勾选（推荐开启）
• 进入该Client的SAML标签页，找到Fine Grain SAML Endpoint Configuration：
  • 勾选Use Client ID in Path
  • 在Issuer字段填入SP的统一Issuer值https://test.net/
• 该Client的专属登录端点格式为：

  {KEYCLOAK_URL}/realms/{REALM_NAME}/protocol/saml/clients/{ENCODED_CLIENT_ID}/login
  

  示例（URL编码后）：

  https://your-keycloak-domain.com/realms/your-realm/protocol/saml/clients/https%3A%2F%2Ftest.net%2Fentity-a/login
  

2. 创建第二个SAML Client（Entity B） #

• 重复上述步骤，Client ID设置为https://test.net/entity-b
• 同样勾选Use Client ID in Path，并将Issuer设为https://test.net/
• 专属登录端点示例：

  https://your-keycloak-domain.com/realms/your-realm/protocol/saml/clients/https%3A%2F%2Ftest.net%2Fentity-b/login
  

3. 核心逻辑说明 #

• 开启Use Client ID in Path后，Keycloak会优先通过请求URL路径中的Client ID匹配对应Client，不再单纯依赖SAMLRequest中的Issuer
• 每个Client配置的Issuer只需与SP发送的Issuer一致即可，无需和Client ID相同，解决了Issuer统一但需多Client的矛盾
• 不同实体的SP分别使用对应Client的专属端点发起SAML请求，Keycloak会精准匹配到对应的Client完成认证流程

4. 验证要点 #

• 让Entity A的SP指向第一个Client的专属端点，Entity B的SP指向第二个
• 发起SP-initiated登录，检查Keycloak是否正确路由到对应Client，且认证流程无中断
• 若使用IDP-initiated登录，直接访问专属端点即可触发对应Client的认证流程

内容的提问来源于stack exchange，提问作者Mike-S122