Keycloak多LDAP用户联邦导入问题：同名不同邮箱用户无法重复导入

方案1：禁用用户导入，采用实时LDAP认证（推荐） #

Keycloak默认会将LDAP用户导入本地存储，这是导致同名用户冲突的核心原因。你可以调整配置，让Keycloak直接对接LDAP做实时认证，完全贴合原IdentityStore的优先级逻辑：

• 进入领域的User Federation页面，编辑每个LDAP提供商
• 在Import Settings区域，将Import Users设为OFF
• 合理设置Cache Policy（比如DEFAULT或EVICT_DAILY），平衡性能与数据实时性
• 在用户联邦列表中拖拽调整两个LDAP的顺序，优先级高的会被优先查询。用户登录时，Keycloak会按顺序遍历LDAP，找到匹配用户名和密码的用户即完成认证，不会出现导入冲突。

方案2：修改用户唯一标识字段 #

如果必须将用户导入Keycloak本地存储，可以替换默认的用户名唯一性判定规则：

• 编辑LDAP提供商的Mappers标签页
• 找到username映射规则并编辑，将LDAP Attribute改为LDAP中全局唯一的属性（比如entryUUID或distinguishedName）
• 注意：必须确保两个LDAP的该属性值无重叠，否则仍会出现冲突。此方案适合每个LDAP用户拥有全局唯一标识符的场景。

方案3：为不同LDAP用户添加前缀/后缀 #

通过映射规则给不同来源的用户名添加标识，避免导入时的重复：

• 编辑第一个LDAP提供商的Mappers，新增一个Script Mapper
• 编写脚本为原用户名添加前缀（如ldap1_）：

  var rawUsername = user.getAttributeValue("username");
  user.setUsername("ldap1_" + rawUsername);
  

• 对第二个LDAP提供商执行相同操作，添加ldap2_前缀
• 导入后两个LDAP的同名用户会被区分为ldap1_xxx和ldap2_xxx，无冲突。若需要用户用原用户名登录，可额外开发自定义认证逻辑实现自动匹配。

方案4：自定义用户联邦提供者 #

如果以上方案都无法满足需求，可基于Keycloak SPI开发自定义联邦提供者：

• 实现UserFederationProvider接口，自定义用户导入与认证逻辑
• 遇到同名用户时，可选择合并属性（如保留双邮箱）或标记来源区分用户
• 此方案适合高度定制化场景，但开发与维护成本较高。

内容的提问来源于stack exchange，提问作者grigouille