如何将LDAP用户密码导入Keycloak？导入后凭证为空无法登录求助

• 检查LDAP存储认证模式
  确认Keycloak的LDAP用户存储配置中，Authentication选项设置为LDAP。若选择Keycloak，系统会强制使用本地凭证而非LDAP密码。操作路径：Keycloak控制台 → 对应Realm → 用户存储 → 目标LDAP存储 → 编辑 → 认证标签页。

• 验证LDAP绑定用户权限
  确保Keycloak连接LDAP所用的绑定用户（Bind DN）具备读取用户密码属性（如userPassword）的权限。可通过ldapsearch命令测试：

  ldapsearch -x -H ldap://你的LDAP地址 -D "绑定DN" -w "绑定密码" -b "用户OU路径" "uid=目标用户名" userPassword
  

  若能返回密码属性，说明权限正常。

• 确认密码属性映射正确性
  检查用户存储的属性映射，确保Keycloak的password属性正确关联到LDAP的密码字段（通常为userPassword）。操作路径：用户存储 → 编辑 → 属性映射标签页 → 查看"password"对应的LDAP属性。

• 排查LDAP密码哈希兼容性
  若LDAP中密码为哈希存储（如SSHA、MD5），需确认Keycloak支持该哈希算法。可在standalone.xml（或standalone-ha.xml）中查看password-hashers配置，确保对应哈希器已启用。

• 调整用户导入/同步模式
  若使用导入模式，Keycloak仅导入用户基本信息，不会同步凭证。需切换为同步模式，或设置允许用户首次登录时从LDAP拉取凭证。操作路径：用户存储 → 编辑 → 同步标签页 → 配置合适的同步策略。

• 查看Keycloak日志定位错误
  开启Debug日志排查具体问题：

  1. 修改standalone.xml日志配置，将org.keycloak.storage.ldap和org.keycloak.authentication的日志级别设为DEBUG；
  2. 尝试登录后，查看standalone/log/server.log，搜索LDAP认证相关报错（如权限不足、属性不存在等）。

内容的提问来源于stack exchange，提问作者Gesaias