启用Keycloak用户联合后无法创建本地用户，求高效解决方案

问题根源 #

你的外部用户存储SPI默认拦截了所有用户操作（包括创建），且优先级高于本地存储，导致添加本地用户时请求被SPI拦截触发错误。要实现「外部用户导入+本地用户独立创建」，核心是让SPI仅负责查询/导入外部用户，将创建用户的请求交给本地数据库处理。

可行解决方案 #

1. 配置外部SPI仅处理查询，不拦截创建操作 #

这是最省心的方案，从SPI层面明确划分职责：

• 自定义SPI实现：在你的UserStorageProvider实现类中，重写supportsUserCreation()方法，返回false。这样Keycloak会自动将创建用户的请求 fallback 到本地存储：

  @Override
  public boolean supportsUserCreation() {
      return false;
  }
  

• 官方JDBC用户存储SPI：在Keycloak Admin Console的User Federation页面，编辑你的外部数据库存储配置，找到「User Creation」选项，设置为Disabled。该存储将仅负责查询外部用户，创建操作自动转向本地。

2. 调整用户存储优先级 #

通过全局优先级控制操作路由：

• 进入Admin Console的User Federation页面，找到本地存储（默认ID为keycloak）和你的外部SPI。
• 将本地存储的优先级设为高于外部SPI（数值越小优先级越高）。这样创建用户时会优先使用本地存储，查询时会按优先级顺序检查外部和本地。
• 注意：如果需要优先查询外部用户，可在查询时通过API指定存储ID，或调整查询策略。

3. 创建用户时显式指定本地存储 #

适合需要灵活控制的场景：

• Admin Console操作：添加用户时，在页面底部的「User Federation」下拉框中选择keycloak（本地存储），再完成创建。
• REST API调用：调用用户创建接口时，在请求体中指定storageId为本地存储ID：

  {
      "username": "local_user",
      "email": "local@example.com",
      "enabled": true,
      "storageId": "keycloak"
  }
  

推荐方案 #

优先选择方案1，它不需要调整全局配置或手动指定存储，从SPI层面明确划分了外部存储（查询/导入）和本地存储（创建）的职责，最符合你的需求。

内容的提问来源于stack exchange，提问作者beyzanur