Keycloak 18.0.2中Okta OIDC组声明映射至自定义组的配置疑问

操作步骤： #

1. 登录Keycloak管理控制台，进入已配置的Okta OIDC身份提供商页面，切换到「映射器」标签，点击「创建」。
2. 配置基础信息：
   • 名称：自定义即可（例如「Okta Group1 → AsiaPacific 组映射」）
   • 映射器类型：选择 Group Membership（该类型专门用于外部身份提供商组到Keycloak内部组的映射）
3. 核心匹配配置（关键部分）：
   • 外部组：填写 Group1（Okta令牌groups数组中需要匹配的目标组名称）
   • 内部组：从下拉列表中选择预先创建好的 AsiaPacific 用户组
   • 声明路径：填写 groups（对应Okta返回令牌中存储组数组的声明字段名）
   • 匹配模式：选择 IN（此模式支持检查数组类型的声明中是否包含指定值）
4. 保存配置，完成后测试用户登录即可验证映射是否生效。

注意事项： #

• 先确认Keycloak能正确获取到Okta的groups声明：可临时添加一个「用户属性映射器」，将groups声明映射到用户属性，登录后查看属性值是否为包含Group1的字符串数组。
• 检查身份提供商的「导入声明」设置，确保groups声明未被排除。
• 测试时使用Keycloak的「测试身份提供商」功能，登录后查看用户的组归属情况。

内容的提问来源于stack exchange，提问作者AnnaSarteNicotera