使用OIDC时Keycloak中AD组映射角色异常：重新添加组后角色未追加

问题现象 #

通过Keycloak的组映射器配置：ADGroup1 → test_client.role1、ADGroup2 → test_client.role2，测试用户出现以下异常：

• 初始归属两个AD组时，登录后角色role1、role2分配正常
• 在Azure中移除ADGroup2后登录，role2被正确删除
• 重新为用户添加ADGroup2后登录，role2无法被追加，仅显示role1
• 删除所有AD组后，Keycloak中用户角色会被删除，仅存在重新加组后角色不追加的问题

可能原因 #

• Keycloak保留了用户的旧会话缓存，未重新从AD拉取最新组信息
• 映射器的同步策略配置为仅首次登录同步，未设置每次登录都更新角色
• Azure AD到Keycloak的组信息同步存在缓存延迟

解决方案 #

1. 手动失效用户会话 #

进入Keycloak管理控制台，找到该用户的会话页面，删除所有活跃会话，让用户重新登录。也可以用API批量操作：

curl -X POST "http://<你的Keycloak地址>/auth/admin/realms/<你的领域名>/users/<用户ID>/logout" \
-H "Authorization: Bearer <管理员Token>"

2. 修改映射器同步模式 #

打开对应AD组映射器的配置页面：

• 将**同步模式（Sync Mode）**从IMPORT改为FORCE，确保每次登录都从AD拉取最新组信息，完全同步角色
• 启用**完全同步（Full Sync）**选项，避免增量同步遗漏

3. 调整AD用户存储缓存策略 #

在Keycloak的用户存储页面找到AD提供商：

• 缩短**缓存策略（Cache Policy）**的过期时间，比如设为300秒（5分钟），让Keycloak更快获取AD更新
• 点击同步所有用户或同步变更用户按钮，手动触发一次同步

4. 验证映射器匹配规则 #

检查映射器中配置的AD组名称是否与Azure中的完全一致，包括大小写、空格和特殊字符，确保ADGroup2能被正确识别

验证步骤 #

1. 确认Azure AD中用户已成功加入ADGroup2
2. 失效用户在Keycloak的所有会话
3. 用户重新登录，检查test_client下的角色是否包含role1和role2
4. 若仍未生效，手动触发AD用户存储同步后再次登录验证

内容的提问来源于stack exchange，提问作者Naga Harish M