Keycloak能否采用Bind Type 'none'连接LDAP？需满足哪些条件？

完全可以用none这个绑定类型，它对应的就是LDAP的匿名绑定模式，不需要提供Bind DN和密码就能建立连接。

使用这个绑定类型需要满足以下几个核心条件：

• LDAP服务器必须开启匿名访问支持：大部分LDAP服务（比如OpenLDAP、Active Directory）默认禁用匿名绑定，得在服务器端调整配置。比如OpenLDAP要修改slapd.conf或动态配置条目，添加允许匿名用户连接和查询的访问规则；Active Directory则需要通过组策略或AD控制台开启匿名绑定权限。
• 目标LDAP条目需对匿名用户开放读权限：就算LDAP允许匿名连接，也要确保Keycloak需要同步的用户、组条目，以及相关属性（比如uid、cn、mail等），匿名用户拥有可读权限。否则Keycloak会无法查询或同步数据。
• 基础网络与连通性正常：和simple绑定一样，要保证Keycloak服务器能正常访问LDAP的端口（默认非加密389，加密636），网络没有防火墙或路由限制。
• Keycloak端配置调整：在LDAP用户存储的设置界面，把Bind Type切换为none，清空Bind DN和Bind Credential字段，其余的用户DN路径、属性映射、同步策略等配置，可沿用之前simple绑定下的有效设置。

注意事项 #

匿名绑定的安全性较低，任何能访问LDAP服务器的主体都可以读取公开的条目数据。如果你的LDAP存储了敏感信息，优先建议申请一个拥有只读权限的专用服务账号，使用simple绑定模式，而非匿名绑定。

内容的提问来源于stack exchange，提问作者Matin Ghiasvand