Keycloak 3.4.3配置问询：同一IdP如何支持多邮箱域名

问题复盘 #

你当前使用的Keycloak 3.4.3确实不支持直接在身份提供商（IdP）配置中添加多域名，之前尝试的身份提供商重定向器配置未生效，大概率是配置方式有误。结合你的场景（Azure AD SAML IdP、需支持两个域名登录、无法升级Keycloak），可以通过以下两种方式解决：

方案1：正确配置身份提供商重定向器（Identity Provider Redirector） #

Keycloak 3.4.3的重定向器支持正则表达式匹配多域名，修正配置步骤如下：

1. 进入目标Realm的「Authentication」→「Flows」页面
2. 复制默认的「Browser」认证流程，命名为如Custom Multi-Domain Browser Flow
3. 在复制后的流程中，点击「Browser」节点的「Add execution」，选择「Identity Provider Redirector」并添加
4. 点击新添加的重定向器执行器的「Configure」：
   • 「Alias」：自定义名称（如multi-domain-sso-redirect）
   • 「Default Identity Provider」：选择已配置的Azure AD SAML IdP的别名
   • 「Domain」：填写正则表达式匹配两个域名，例如@(old-domain.com|new-domain.com)$（替换为你的实际域名）
   • 「Required」：设置为On
5. 将这个自定义流程设为Realm的默认浏览器流程，或在目标客户端的「Authentication Flow Overrides」中指定该流程

完成配置后，用户输入两个域名的邮箱时，会自动重定向到Azure AD进行认证。

方案2：自定义脚本认证器（更灵活） #

如果重定向器配置仍不生效，可以用Keycloak 3.4.3支持的脚本认证器实现域名判断与重定向：

1. 进入Realm的「Authentication」→「Flows」，复制「Browser」流程
2. 在复制后的流程中添加「Script Authenticator」执行器，放在「Forms」节点之前
3. 点击脚本执行器的「Configure」，选择「Create script」，粘贴以下脚本（替换占位符）：

// 获取用户输入的邮箱/用户名
var loginId = context.getHttpRequest().getParameter('username');
if (!loginId) return;

// 提取域名
var domain = loginId.split('@')[1];
// 定义允许的域名列表
var allowedDomains = ['old-domain.com', 'new-domain.com'];

if (allowedDomains.includes(domain)) {
    // 重定向到已配置的Azure AD IdP（替换为你的IdP别名）
    var redirectUrl = context.getIdentityProviderRedirectUrl('azure-ad-saml-idp-alias');
    context.redirect(redirectUrl);
    return;
}

// 非允许域名，继续默认表单认证

4. 保存脚本并启用该执行器，将自定义流程设为默认或客户端专属流程

额外检查项 #

• 确认Azure AD侧已验证新域名，并将新域名下的用户分配到对应的SAML应用
• 检查登录页面的前端验证逻辑：如果「请输入有效的客户邮箱地址」是前端提示，需修改页面的邮箱验证正则，加入新域名

内容的提问来源于stack exchange，提问作者DaveW