Spring Boot集成Azure AD做身份认证时是否还需要引入KeyCloak？

你描述的Spring Boot应用结合Azure AD做身份认证、权限管理的场景，绝大多数情况下不需要额外引入Keycloak，现有Azure AD + Spring Boot Starter for Azure Active Directory的技术栈已经可以完全覆盖你的需求。

你提到的三类核心能力，Azure AD都原生支持，无需额外组件：

• UI端用户登录认证：Spring Boot官方提供的Azure AD starter可以直接对接Azure AD的OAuth2.0授权码流，前端只需按配置跳转Azure AD统一登录页，无需额外开发身份相关的前端逻辑，token校验、会话管理都有开箱实现。
• 内部服务间通信鉴权：Azure AD支持OAuth2.0客户端凭证流，内部服务可直接向Azure AD申请服务级别的access token，调用方带token请求，被调用方作为资源服务器直接用starter完成token合法性、权限校验即可。
• 用户角色定义与管理：Azure AD支持应用级角色自定义，你可以在Azure AD应用配置页新增所需业务角色，给对应用户/用户组分配角色后，token会自动携带roles声明，Spring Security可以直接读取该声明做接口权限控制。

只有当你存在以下Azure AD无法低成本满足的需求时，引入Keycloak才具备合理性：

• 你有统一对接多身份源的需求，比如后续需要同时兼容企业本地LDAP、其他公有云身份服务、第三方社交账号登录等，Keycloak可以作为身份代理层统一聚合所有身份源，你的应用无需对接多个身份服务。
• 你有合规要求，用户身份数据不能存储在第三方公有云，Keycloak支持私有化部署，所有用户、角色、权限数据都可以保存在你自己管控的数据库中。
• 你需要高度定制的身份流程，比如自定义用户注册审核流、复杂密码策略、动态权限计算、自定义多因素认证规则等，Keycloak的扩展能力远高于公有云托管的Azure AD，可通过SPI开发自定义逻辑。
• 你需要统一管理多应用/多租户身份，比如同时运营多个独立业务应用，需要做统一的用户池隔离、跨应用权限分配，Keycloak的Realm、Client管理模型对这类场景的适配性更好，整体使用成本更低。

如果你的团队已经在使用Azure技术栈，且没有上面提到的特殊需求，直接用Azure AD即可，额外引入Keycloak会额外增加运维成本（需要保障Keycloak服务的高可用、升级、数据备份等），属于冗余投入。
如果确实存在上述特殊需求，可以采用Keycloak作为中间身份层，所有应用、服务对接Keycloak，Keycloak再对接Azure AD作为上游身份源，兼顾Azure AD的账号管理能力和Keycloak的扩展能力。

内容的提问来源于stack exchange，提问作者Carlos Gonzalez