Keycloak 22.0.1外部登录认证流程配置求助：绑定与补全场景

一、创建自定义浏览器认证流程 #

• 进入Keycloak控制台，依次点击「认证」→「流程」，找到默认的Browser流程，点击右侧「复制」，命名为External IDP Link/Register Flow
• 点击新流程右侧的「编辑」，开始调整执行步骤

二、配置核心流程步骤 #

1. 保留Identity Provider Redirector步骤：若需让用户选择外部IDP则保持默认；若要直接跳转指定IDP，可在该步骤的配置项中设置默认IDP
2. 添加Identity Provider Authenticator步骤，设置为REQUIRED：用于处理外部IDP的回调，获取用户身份信息
3. 添加User Lookup步骤，设置为REQUIRED：配置项中选择email作为查找属性（需确保外部IDP返回的邮箱已映射到Keycloak的email字段）
4. 基于User Lookup的结果配置分支：
   • 找到用户时：添加Confirm Link Account步骤，设置为REQUIRED，该步骤会触发账户绑定确认界面，让用户确认将外部IDP账户关联到已有Keycloak账户
   • 未找到用户时：
     • 添加User Creation步骤，设置为REQUIRED，勾选配置项中的Create User If Unique，确保外部IDP返回的字段能自动映射到用户属性
     • 添加Review Profile步骤，设置为REQUIRED，该步骤会自动预填充从外部IDP获取的用户信息（如姓名、邮箱），供用户补全或修改注册内容

三、配置外部IDP属性映射 #

针对每个外部IDP（Google、Microsoft等）：

• 进入IDP配置页面的「Mappers」标签
• 添加Attribute Importer映射：
  • 将外部IDP返回的email映射到Keycloak的email属性
  • 将given_name映射到firstName，family_name映射到lastName（确保注册表单能预填充这些基础信息）

四、关联流程到目标客户端 #

• 进入需要使用该登录流程的客户端配置页面
• 切换到「认证流程」标签，将Browser Flow设置为刚才创建的External IDP Link/Register Flow

五、验证场景 #

• 用已存在于Keycloak用户库的邮箱登录外部IDP，确认弹出账户绑定确认界面
• 用未在Keycloak注册的邮箱登录外部IDP，确认弹出预填充了基础信息的注册补全表单

内容的提问来源于stack exchange，提问作者Silvandro Oliveira