将Google IdP关联到Keycloak现有账户时遇federated_identity_account_exists错误

针对你遇到的token exchange error: federated_identity_account_exists错误，以下是几个排查和解决方向：

• 排查全局身份关联冲突
  这个报错的核心原因可能是你要使用的Google身份已经被Keycloak中其他用户绑定了，而非你自己的预创建用户。登录Keycloak管理控制台，进入「用户管理」，通过「身份提供商」筛选Google，查看所有关联该身份的用户，确认是否有其他用户绑定了同一个Google账号的邮箱/唯一ID。如果有，解除该用户的Google身份关联即可。

• 验证用户属性匹配规则
  自动关联依赖Keycloak匹配预创建用户与Google返回的身份信息，默认以邮箱匹配：

  • 确认预创建用户的邮箱与Google账号邮箱完全一致（注意部分场景下大小写可能影响匹配，可尝试统一为小写）；
  • 检查Google身份提供商的映射器配置：进入「身份提供商」-> 选择Google -> 「映射器」，确保「email」映射器已启用，且正确映射到Keycloak用户的「email」字段。

• 调整首次Broker登录流的执行逻辑
  自定义登录流时，需确保自动关联的执行规则正确：

  1. 进入「认证」->「流」，复制默认的「First Broker Login」流作为自定义流（避免修改默认配置）；
  2. 展开「Review Profile」步骤，找到「自动链接现有用户」执行项；
  3. 配置该执行项：勾选「如果找到匹配用户则自动链接」，将匹配属性设置为「email」（或你用于唯一标识用户的字段）；
  4. 将「创建用户」执行项设置为「禁用」或「可选」，避免触发新用户创建逻辑。

• 清除Keycloak缓存
  Keycloak的缓存可能保留了旧的身份关联数据，导致冲突。进入「领域设置」->「缓存」，清除用户缓存和身份提供商缓存，之后重启Keycloak服务再测试。

• 检查版本兼容性
  部分旧版本Keycloak（如低于18.x）存在自动关联现有用户的bug，若你使用的是旧版本，建议升级到稳定版本（如20.x及以上）后重试。

内容的提问来源于stack exchange，提问作者horsemanwithnoname