Keycloak从外部IDP映射用户信息：属性名称与角色映射问题

问题背景 #

我拥有两个Keycloak实例：

• KC1：作为应用的主Keycloak服务
• KC2：作为身份提供商（IDP），通过SAML协议与KC1关联

需求是当来自KC2的SSO用户登录应用时，在KC1中获取用户的核心信息（邮箱、姓名、角色），需通过IDP映射器实现。

遇到的问题 #

创建多个Attribute Importer类型的映射器均未成功，核心痛点是不知道属性名字段应填写的正确值——比如针对邮箱属性，尝试过"email"、"emailAddress"、"mail"等多种格式，但都属于盲目猜测。同时想了解：

• 是否有官方属性名对照表可查询？
• 有没有办法查看IDP发送的声明内容？（当前流程自动化程度高，难以了解底层逻辑）

注：官方文档提到可通过设置DEBUG日志级别查看声明，但未找到相关内容。

解决方案 #

基础信息（邮箱、姓名）映射解决 #

需在KC2端创建对应SAML协议的客户端作用域并绑定到客户端，之后直接使用客户端作用域映射器中定义的SAML属性名，即可完成基础用户信息的映射。

角色映射解决 #

• 角色信息存在于access token中（而非基础用户信息所在的ID token）
• 无需在KC1端预先创建对应角色，只需在KC1中完成角色映射配置，即可让应用获取到来自KC2的角色信息。

内容的提问来源于stack exchange，提问作者liberto