Keycloak First Broker Login配置：无账号时提供关联/新建选项

你禁用自动账号创建后看不到「Create New Account」选项，核心原因是流程执行器的需求等级（Requirement）配置错误，按以下步骤调整即可实现目标交互逻辑：

具体配置步骤 #

• 不要直接修改系统内置的first broker login流程，先进入对应Realm的「Authentication」页面，找到该内置流程后点右上角「Copy」，生成一份自定义副本（比如命名为Custom First Broker Login），所有配置修改都在副本上操作，避免版本升级覆盖自定义配置。
• 在自定义流程的执行器列表中，找到Create User If Unique (Configurable)执行器：不要将其设为DISABLED，把它的Requirement值调整为ALTERNATIVE。这个执行器就是「创建新账号」选项的渲染和逻辑载体，完全禁用后自然不会出现新建入口。
• 同列表中找到Confirm Link Existing Account执行器，同样把它的Requirement值调整为ALTERNATIVE。Keycloak认证流程的规则是：同层级下多个Requirement为ALTERNATIVE的执行器会同时作为可选项渲染给用户，这一步配置完成后，页面就会同时展示关联已有账号、创建新账号两个按钮。
• 找到Username Password Form执行器，将其Requirement设为DISABLED，同时确认Identity Provider Redirector执行器为启用状态、Requirement设为REQUIRED。这样用户选择「Link to existing account」时，页面只会展示你配置好的其他社交IdP登录按钮，不会出现用户名密码输入框，完全匹配跨IdP关联的需求。
• 找到Verify Existing Account by Email执行器，将其Requirement设为DISABLED——这个配置是为了避免系统自动根据IdP返回的邮箱匹配已有账号自动关联，完全把关联/新建的选择权交给用户，适配「同一用户不同社交账号可能使用不同邮箱」的场景，避免误关联。
• 所有执行器调整完成后点保存，回到Authentication页面的「Bindings」标签页，把「First Broker Login」绑定的流程从默认内置流程切换为你刚创建的自定义流程，保存生效。

效果校验 #

使用从未在当前Keycloak Realm注册过的账号，点击「Sign in with Google」发起登录，页面会直接展示两个操作选项：

• Link to existing account：点击后跳转至社交IdP选择列表，用户选择已有账号绑定过的其他IdP完成登录，系统会自动将当前Google账号关联到对应用户下，不会生成新账号
• Create New Account：点击后系统会基于当前Google IdP返回的用户信息创建全新的Keycloak账号，直接完成登录

常见问题排查 #

如果配置完还是看不到「Create New Account」选项，检查两个ALTERNATIVE等级的执行器前面，有没有Requirement为REQUIRED的非必要执行器（比如默认的自动创建账号硬编码执行器），把这类执行器设为DISABLED即可，避免流程提前走分支跳过选项渲染。
如果关联账号时还是出现用户名密码输入框，检查是不是其他流程（比如browser流程）里的配置覆盖了first broker login的表单展示，确认Username Password Form在自定义first broker login流程里确实是禁用状态即可。

内容的提问来源于stack exchange，提问作者Eager