如何在Keycloak-A中无需跳转登录Keycloak-B的用户？

针对你提到的场景（Keycloak-A公开可访问，Keycloak-B仅VPN可达，二者可直接通信，要通过A的登录表单验证B的用户且不跳转），以下是两种可行的实现方式：

方案1：基于Keycloak REST API做后端验证 #

这是最快落地的方案，核心是让Keycloak-A的后端替用户完成对Keycloak-B的验证，前端全程停留在A的页面：

• 在Keycloak-B中创建一个服务账号客户端，给它分配realm-management下的必要权限（至少要能调用令牌接口和获取用户信息），确保A能以这个服务账号的身份请求B的API。
• 改造Keycloak-A的登录流程：当用户在A的登录表单提交账号密码后，A的后端调用Keycloak-B的/realms/{你的B域名称}/protocol/openid-connect/token接口，用password授权类型传入用户的账号密码，同时带上服务账号的凭证。
• 如果B返回有效的访问令牌，说明用户验证通过，Keycloak-A就可以为该用户创建本地会话，生成自己的令牌返回给前端，整个过程前端不会跳转到B的页面。
• 额外处理：可以把B返回的用户属性（比如角色、邮箱）映射到A的用户会话中，保证业务系统能拿到完整的用户信息。

方案2：自定义Keycloak-A的用户存储提供者 #

如果需要更深度的集成，可以基于Keycloak的SPI扩展开发专属的用户存储：

• 开发一个实现UserStorageProvider接口的扩展，在扩展中调用Keycloak-B的REST API来验证用户密码、拉取用户信息。
• 将这个扩展打包部署到Keycloak-A的providers目录，重启A后在控制台配置这个自定义存储提供者。
• 配置完成后，用户在A的登录页输入账号密码时，A会直接通过这个存储提供者调用B的接口完成验证，完全不需要跳转，也不用导入B的用户数据。

重要注意事项 #

• 务必保证A和B之间的通信启用HTTPS，避免凭证或令牌在传输过程中被窃取。
• 服务账号的权限要遵循最小原则，只分配验证用户所需的权限，不要给全量的管理权限。
• 自定义SPI扩展要注意Keycloak版本兼容性，不同版本的SPI接口可能有差异，开发前先对应好版本文档。

内容的提问来源于stack exchange，提问作者Theo