如何配置Keycloak仅在LDAP用户首次登录时导入该用户？

根据Keycloak官方文档，开启Import Users选项后，LDAP Provider应该只在用户首次登录时把用户导入Keycloak本地数据库，不会触发全量LDAP用户同步，管理控制台也只会显示至少登录过一次的LDAP用户。但在Keycloak v20里，添加LDAP配置后却立刻同步了所有LDAP用户，当前配置如下：

{
  "providerId": "ldap",
  "providerType": "org.keycloak.storage.UserStorageProvider",
  "name": "ldap",
  "config": {
    "enabled": ["true"],
    "connectionUrl": [""],
    "bindDn": [""],
    "bindCredential": [""],
    "startTls": ["false"],
    "useTruststoreSpi": ["ldapsOnly"],
    "connectionPooling": ["false"],
    "authType": ["simple"],
    "allowKerberosAuthentication": ["false"],
    "useKerberosForPasswordAuthentication": ["false"],
    "cachePolicy": ["DEFAULT"],
    "connectionTimeout": [""],
    "usersDn": [""],
    "usernameLDAPAttribute": ["sAMAccountName"],
    "rdnLDAPAttribute": ["cn"],
    "uuidLDAPAttribute": ["objectGUID"],
    "userObjectClasses": ["person, organizationalPerson, user"],
    "customUserSearchFilter": [""],
    "readTimeout": [""],
    "batchSizeForSync": [""],
    "vendor": ["ad"],
    "editMode": ["READ_ONLY"],
    "searchScope": [""],
    "pagination": ["false"],
    "importEnabled": ["true"],
    "syncRegistrations": ["false"],
    "usePasswordModifyExtendedOp": ["false"],
    "validatePasswordPolicy": ["false"],
    "trustEmail": ["false"],
    "changedSyncPeriod": ["-1"],
    "fullSyncPeriod": ["-1"]
  }
}

实现仅首次登录导入用户的配置调整 #

• 确认同步周期配置：你当前已经把fullSyncPeriod和changedSyncPeriod设为-1，这步是对的，代表禁用自动全量和增量同步。但要注意，添加LDAP配置时如果不小心触发了手动同步，也会导致全量导入，所以配置完成后别去点手动同步按钮。
• 明确importEnabled的作用：在v20版本中，importEnabled=true就是开启“按需导入”——也就是用户首次登录时才导入本地数据库。之前的全量同步大概率是配置过程中误操作触发的，不是这个参数本身的问题。
• 调整控制台用户显示逻辑：默认情况下，Keycloak管理控制台会直接查询LDAP目录显示所有用户，哪怕没导入本地。要让控制台只显示已导入的用户，需要这么做：
  • 进入对应LDAP Provider的配置页面
  • 找到用户搜索相关设置，关闭“直接查询LDAP”的选项（或者确保控制台的用户查询只指向Keycloak本地存储）
• 如果已经全量导入了用户，先清理再重新配置：
  1. 禁用当前的LDAP Provider
  2. 删除所有通过LDAP同步进来的用户
  3. 重新启用LDAP Provider，全程不要触发手动同步操作

内容的提问来源于stack exchange，提问作者Jackjack