将Azure AD用户联合到Keycloak的最优方案是什么？求官方资源与指导

我之前做过类似的集成，给你几个靠谱的落地方向，替代LDAP方案：

• 优先采用 OpenID Connect（OIDC）协议对接
  这是Azure AD官方推荐的标准集成方式，Keycloak原生支持，配置步骤清晰：

  1. 在Azure AD中注册应用程序，获取客户端ID、客户端密钥和租户ID
  2. 登录Keycloak管理控制台，添加OpenID Connect类型的身份提供者
  3. 配置核心端点参数：
     • 授权端点：https://login.microsoftonline.com/{你的租户ID}/oauth2/v2.0/authorize
     • 令牌端点：https://login.microsoftonline.com/{你的租户ID}/oauth2/v2.0/token
     • 用户信息端点：https://graph.microsoft.com/oidc/userinfo
  4. 勾选所需的权限范围（如openid、profile、email），并配置用户属性映射，将Azure AD返回的用户字段对应到Keycloak的用户属性

• 备选方案：SAML 2.0 协议对接
  若业务场景更适配SAML协议，也可采用此方式：

  1. 在Azure AD中创建SAML企业应用，导出其元数据文件
  2. 在Keycloak中添加SAML类型的身份提供者，直接导入Azure AD的元数据
  3. 配置断言消费者服务（ACS）URL，并设置用户属性映射规则

• 官方资源参考

  • Keycloak官方文档包含Azure AD身份提供者的完整配置指南
  • Azure AD官方文档有企业应用与SAML/OIDC集成的详细说明

注意：只有Azure AD DS（Azure Active Directory Domain Services）支持LDAP对接，纯云原生的Azure AD不提供LDAP服务，无需在此方向浪费精力。

内容的提问来源于stack exchange，提问作者linus