Keycloak AD/Kerberos集成疑问：Kerberos登录用户归属问题

当你在Keycloak里配置了AD（LDAP）用户联合提供商，并且启用该提供商下的Kerberos集成后，用户通过Kerberos登录时，不会创建新用户，Keycloak会自动将Kerberos主体和之前从AD导入的用户匹配合并，直接关联到已存在的导入用户上。

具体逻辑细节：

• Kerberos认证通过后，Keycloak会拿到用户的主体信息（比如user@DOMAIN.COM），然后根据你在LDAP提供商里配置的匹配属性（通常是用户名或用户主体名），在已导入的AD用户中查找对应条目。
• 只要匹配成功，Kerberos登录会话就会直接关联到已有的导入用户，用户的属性、角色等数据都会沿用之前导入的内容，不会生成新的用户记录。
• 只有当Kerberos主体在Keycloak的AD导入用户中找不到匹配项时，才会触发自动创建用户（前提是你的提供商开启了自动创建用户的配置），但这只针对之前没导入过的AD用户。

需要留意的配置点：

• 一定要确保LDAP提供商里设置的用户匹配属性（比如username或userPrincipalName）和Kerberos主体的格式对应上，否则会出现匹配失败，导致Keycloak误创建新用户。
• 就算你先启用Kerberos让用户登录创建了临时记录，之后从AD导入用户时，只要身份标识匹配，Keycloak也会自动合并这两个身份记录。

内容的提问来源于stack exchange，提问作者Gabriele