配置Keycloak作为Tableau Online的SAML身份提供商时登录报错求助

问题场景 #

我正尝试通过添加Keycloak作为SAML身份提供商，为Tableau Online启用额外认证方式，操作步骤如下：

• 导出Tableau Online的元数据
• 在Keycloak中创建与Tableau用户名一致的用户
• 在Keycloak中创建领域（Realm）和客户端（Client），并导入Tableau Online导出的元数据
• 在Tableau客户端中添加映射，设置用户属性为“username”
• 导出Keycloak的元数据并导入到Tableau Online

测试连接时，页面可正常重定向至Keycloak登录页，完成Keycloak认证后，重定向回Tableau Online登录页时出现错误：Your account or password is incorrect（账号或密码不正确）。

可能的原因及排查方向 #

• SAML断言属性匹配错误：Tableau Online可能并不期望用username作为用户匹配字段，比如部分场景下Tableau默认以email作为用户标识。如果Keycloak返回的username和Tableau用户的邮箱不一致，就会导致用户匹配失败。可以检查Keycloak客户端的SAML断言属性配置，或调整Tableau身份提供商的属性映射字段。
• 用户名大小写/格式不一致：Tableau对用户名可能存在大小写敏感的情况，若Keycloak中用户的username大小写、特殊字符或空格与Tableau侧的用户名不完全一致，会触发匹配失败。仔细核对两边的用户名细节，确保完全匹配。
• SAML断言验证失败：虽然重定向流程正常，但Keycloak发送的SAML断言可能未通过Tableau的验证。比如Keycloak的证书配置错误，或Tableau导入元数据时未正确获取证书，系统会用“账号或密码错误”的通用提示掩盖真实的验证失败问题。检查Keycloak客户端的SAML签名设置，以及Tableau中身份提供商的证书配置是否正确。
• Tableau身份提供商配置缺失关键项：比如未启用该SAML身份提供商，或断言消费者服务URL（ACS URL）配置错误，导致Tableau无法正确处理Keycloak返回的断言。确认Tableau的ACS URL与Keycloak客户端中设置的一致，且已启用该身份提供商。
• Keycloak客户端配置错误：比如未将Tableau的回调URL添加到“Valid Redirect URIs”列表，或SAML协议相关设置不符合Tableau要求。检查Keycloak客户端的重定向URI配置、“Client Signature Required”等参数是否正确。
• Tableau用户未关联SAML身份提供商：即使Keycloak认证通过，若Tableau中的用户未配置为允许通过该SAML身份提供商登录，也会触发错误。确认Tableau用户账号已关联对应的SAML身份提供商，或Tableau设置为允许所有用户通过该身份提供商登录。

内容的提问来源于stack exchange，提问作者Sinan NourEddine