更新Keycloak身份提供商客户端凭证致用户无法登录

问题原因 #

不是Keycloak不允许修改身份提供商的客户端凭证，而是更新凭证后，Keycloak的身份验证流程出现了误判：

• 你的用户已经在FEDERATED_IDENTITY表中存在(azure-ad-oidc, 20779c27-7d7b-48f0-9254-f94cd15a2291)这条关联记录，说明该用户早已完成Keycloak账户与Azure AD身份的绑定。
• 更新凭证后，Keycloak在处理用户登录时，错误地认为该用户的Keycloak账户还未关联当前的Azure AD身份提供商，因此弹出“账户已存在”提示，并引导用户执行“添加至现有账户”操作。
• 而这个操作的底层逻辑是尝试向FEDERATED_IDENTITY表插入一条已存在的关联记录，直接触发了表的唯一约束（(identity_provider, user_id)必须唯一），导致报错。

这个问题大概率是Keycloak v20.0.0的版本bug，和修改凭证本身无关——客户端凭证字段本就支持修改，只是更新后的缓存或流程判断逻辑出了问题。

解决方案 #

1. 临时应急处理（针对单个用户）

   • 登录Keycloak管理控制台，找到出现问题的用户，进入Federated Identities标签页，确认是否已经关联了azure-ad-oidc身份提供商。
   • 如果已经关联，直接让用户重新登录即可，不需要点击“添加至现有账户”的确认链接——那个提示本身就是误判。

2. 全局修复解决

   • 清理Keycloak缓存：进入对应Realm的设置页面，找到Clear Cache按钮（一般在Realm设置的底部），点击清理所有缓存。更新身份提供商配置后，旧的配置可能还留在缓存中，导致流程判断异常。
   • 升级Keycloak版本：这个问题在Keycloak后续的小版本（比如v20.0.1及以上）中可能已经被修复，建议升级到同大版本的最新稳定版，或者直接升级到更高的LTS版本（比如v21.x或v22.x）。

3. 验证操作

   • 清理缓存后，找一个受影响的用户测试登录，确认是否还会弹出“账户已存在”的错误提示。如果问题消失，说明是缓存导致的；如果仍然存在，建议直接升级版本。

内容的提问来源于stack exchange，提问作者derlarsen