如何实现Keycloak不导入LDAP用户直接完成用户授权？

完全可以实现不将LDAP用户导入Keycloak数据库就完成授权，你遇到的登录找不到用户问题，核心大概率出在Keycloak的LDAP用户存储配置上，而非Spring Security配置本身。下面是具体的排查和解决步骤：

1. 确认Keycloak的LDAP用户存储配置正确 #

这是实现无导入授权的核心环节，必须确保Keycloak能直接连通并查询LDAP用户：

• 在Keycloak控制台进入目标Realm，打开User Federation页面，添加LDAP用户存储
• 务必取消勾选"Import Users"选项，这是跳过用户导入的核心开关
• 配置LDAP基础连接参数：
  • 填写正确的LDAP服务器URL（比如ldap://your-ldap-server:389）
  • 绑定DN和绑定密码：使用拥有LDAP用户查询权限的账号密码，确保Keycloak能成功连接LDAP服务器
• 配置用户映射规则：
  • 用户对象类：选择LDAP中实际使用的对象类（比如inetOrgPerson）
  • 用户名属性：对应LDAP中作为用户登录名的属性（比如uid或cn）
  • RDN属性：一般与用户名属性一致，确保能定位到单个用户
  • 搜索基DN：设置为LDAP用户所在的根目录（比如ou=users,dc=example,dc=com）
• 测试验证：在LDAP配置页面点击Test Connection确认连通性，再用LDAP中真实用户的账号密码点击Test Authentication，确保Keycloak能成功找到并验证该用户

2. 检查Keycloak客户端配置 #

确保你的应用对应的Keycloak客户端配置正确：

• 确认客户端的Access Type与应用类型匹配（比如Web应用选confidential，单页应用选public）
• Valid Redirect URIs必须包含应用的回调地址（比如http://localhost:8080/*，根据实际部署地址调整）
• 若启用角色授权，可在Keycloak的LDAP配置中设置角色映射，直接从LDAP同步角色而非导入

3. 完善Spring Security的Keycloak集成配置 #

你当前的Spring Security配置缺少Keycloak认证逻辑的集成，需要补充：

3.1 添加Keycloak依赖 #

确保项目中引入Spring Boot版的Keycloak适配器（以Maven为例）：

<dependency>
    <groupId>org.keycloak</groupId>
    <artifactId>keycloak-spring-boot-starter</artifactId>
</dependency>

3.2 配置Keycloak参数 #

在application.properties或application.yml中添加Keycloak连接信息：

keycloak.realm=你的Realm名称
keycloak.auth-server-url=http://你的Keycloak地址/auth
keycloak.resource=你的客户端ID
keycloak.credentials.secret=你的客户端密钥（仅当Access Type为confidential时需要）
keycloak.use-resource-role-mappings=true
keycloak.bearer-only=false

3.3 更新Spring Security配置 #

在configure(HttpSecurity)方法中集成Keycloak认证：

@Override
protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    
    http    
        .csrf().disable()
        .authorizeRequests()
        .antMatchers("/vaadinServlet/UIDL/**", "/vaadinServlet/HEARTBEAT/**", "/api/gui**").permitAll()
        .anyRequest().authenticated() // 所有其他请求需要认证
        .and().exceptionHandling().accessDeniedHandler(accessDeniedHandler())
        .and().logout().logoutUrl("/api/logout").logoutSuccessUrl("/api/")
            .deleteCookies("OAuth_Token_Request_State", "JSESSIONID").invalidateHttpSession(true)
        .and().apply(keycloakSecurityConfigurer()); // 引入Keycloak认证配置
}

@Bean
public KeycloakSpringBootConfigResolver keycloakConfigResolver() {
    return new KeycloakSpringBootConfigResolver();
}

4. 排查常见问题 #

如果还是无法找到用户，可通过以下方式排查：

• 开启Keycloak的LDAP调试日志：在Keycloak的配置文件（比如standalone.xml）中添加日志配置，查看LDAP查询细节：

  <logger category="org.keycloak.storage.ldap">
      <level name="DEBUG"/>
  </logger>
  

• 检查LDAP用户的搜索范围：确认搜索基DN包含目标用户，且Keycloak的用户过滤器规则正确
• 确认LDAP用户状态：若LDAP中有用户启用状态的属性，需在Keycloak的LDAP配置中映射"Enabled"属性，确保用户处于启用状态

内容的提问来源于stack exchange，提问作者Axel HK