如何基于Keycloak实现跨Windows环境的身份认证授权同步？

方案一：基于用户联合的Keycloak跨实例桥接 #

• 第一个环境的Keycloak（简称K1）配置AD用户联合提供者，将主AD的用户数据（含哈希密码、属性、角色）同步到K1本地存储，可设置每日同步（匹配主AD到副本的复制频率）。
• 第二个环境的Keycloak（简称K2）配置OpenID Connect用户联合提供者，以K1作为身份源：
  • K2通过HTTPS向K1发起用户验证请求，用户登录K2关联的应用时，K2会将凭证转发至K1验证，验证通过后缓存用户数据到本地。
  • 可配置每日同步策略，从K1拉取最新用户数据，保证与主AD的一致性。
• 优势：基于Keycloak原生功能实现，无需额外工具，HTTPS通信满足防火墙穿透要求，彻底避免K2直接访问主AD。

方案二：Keycloak跨数据中心复制（企业版专属） #

• 使用Keycloak企业版的跨DC复制功能，将K1设为主节点，K2设为从节点，通过HTTPS加密通道同步全量身份数据（用户、角色、权限等）。
• 主节点K1同步主AD用户数据后，自动将数据复制到从节点K2，K2可独立处理本地应用的授权请求，无需依赖K1实时在线（本地缓存机制保障可用性）。

替代方案：第二个环境Keycloak直接对接本地AD副本 #

• 既然主AD每日复制到第二个环境的本地AD副本，可直接在K2上配置AD用户联合提供者，对接本地AD副本：
  • K2从本地AD副本读取用户数据，用户登录时直接验证本地AD的凭证，无需与K1通信。
  • 优势：架构更简洁，减少跨环境依赖，AD复制的哈希密码同步可保证凭证一致性。
• 注意：需确认本地AD副本的复制策略包含用户密码哈希、属性等关键数据，确保K2能正常验证用户凭证。

关键注意事项 #

• 密码安全：所有用户密码需以哈希形式同步，避免明文传输，Keycloak用户联合与AD复制均默认支持哈希密码同步。
• 防火墙配置：仅需开放对应端口：方案一开放K2到K1的HTTPS端口（如443/8443）；替代方案开放K2到本地AD副本的LDAPS端口（如636）。
• 同步频率：同步策略需与主AD到本地副本的复制频率匹配（每日），避免数据不一致。

内容的提问来源于stack exchange，提问作者Frank