如何配置Keycloak服务器以同时支持开发与UAT环境

核心方案选型建议 #

• 90%以上的场景优先选择同Realm下创建独立Client的方案，是共享单实例的最优解
• 仅当开发/UAT的用户体系、认证规则、权限模型完全独立，且不需要复用任何身份配置时，才需要拆分两个独立Realm

方案细节说明 #

1. 为什么不推荐拆分Realm #

Realm是Keycloak的顶级隔离单元，拆分Realm意味着需要维护两套完全独立的用户池、角色体系、身份提供商、认证流规则，后续配置更新需要两边重复操作，维护成本极高，仅为了URL差异拆分Realm完全没有必要。

2. 同Realm分多Client的优势 #

完全可以满足你不同环境URL差异的需求，同时成本最低：

• 每个Client可独立配置根URL、有效重定向URI、Web源、回退URL，完美适配开发环境http://localhost:3000和UAT环境不同地址的要求
• 可单独为不同环境Client配置独立的客户端密钥、权限范围、角色映射规则，满足不同环境的权限控制需求
• 可复用同一套用户、角色、身份提供商配置，开发测试不需要维护多套账号，运维成本极低

3. 同Client隔离双环境配置的可行性说明 #

技术上可以实现，但极其不推荐：

• 操作层面可以在同一个Client的「有效重定向URI」「Web源」配置项中同时添加开发和UAT的两套地址，实现多环境适配
• 但存在严重的安全和稳定性问题：无法配置独立的客户端密钥，开发环境的跳转规则会引入UAT环境的跳转攻击风险，单环境配置错误会同时影响两个环境，故障影响面不可控

配置注意事项 #

• Client命名必须明确标识环境，比如your-business-app-dev、your-business-app-uat，避免混用
• 不同环境Client生成独立的客户端密钥，分开存储不要交叉使用
• 如果需要区分环境专属权限，可以创建带环境标识的角色，比如app-dev-admin、app-uat-admin，分别映射到对应Client的角色列表
• 生产环境绝对不要和开发/UAT共享Keycloak实例，必须单独部署独立集群

内容的提问来源于stack exchange，提问作者mostafa.S