配置跨Keycloak实例SSO时遇用户已存在问题（目标端含用户联邦）

• 调整IdP代理的用户匹配策略
  进入目标Keycloak对应源Keycloak的IdP配置页面，找到「用户匹配」或「用户创建策略」选项，将默认的「创建新用户（若不存在）」改为仅匹配现有用户，不创建新用户。目标端禁用用户管理后，系统无法创建新用户，但默认策略仍会尝试创建，同时检测到联邦中已有同名用户，就会弹出冲突提示。

• 统一用户标识的一致性
  确认源Keycloak返回的username/email等唯一标识，与目标Keycloak用户联邦中的用户标识完全一致（注意大小写、空格等细节，Keycloak默认标识大小写敏感）。如果存在格式差异，在IdP配置的「属性映射」中添加转换规则（比如将邮箱统一转为小写），确保两端标识能精准匹配。

• 开启自动用户链接功能
  在目标Keycloak的IdP配置里找到「用户链接」选项，开启自动链接现有用户。这个功能会让系统自动匹配符合标识的联邦用户，无需手动操作就能完成关联，避免触发用户创建逻辑。如果目标端用户联邦有「禁止外部IdP关联」的限制，需要取消该限制（关联操作不属于用户修改，通常不受禁用用户管理的影响）。

• 检查用户联邦的关联权限
  进入目标Keycloak的用户联邦配置，确认是否存在阻止外部IdP关联用户的设置。部分用户联邦提供商（比如LDAP）会有这类限制，需要开启「允许外部IdP链接用户」的选项，确保IdP代理能正常关联现有联邦用户。

内容的提问来源于stack exchange，提问作者Georgi Stoyanov