如何使用Keycloak中存储的用户信息实现Samba服务的身份认证？

方案1：Keycloak + 自定义同步工具 + OpenLDAP + Samba（生产环境最稳定的落地方案） #

• 核心逻辑：完全满足你要求的「Keycloak作为唯一用户源」的需求，无需将LDAP作为主用户存储，通过同步工具将Keycloak内的用户、Samba认证所需的特殊属性定时/实时推送到OpenLDAP，Samba直接对接OpenLDAP完成身份校验即可。
• 具体实现步骤：
  1. 部署OpenLDAP服务，提前导入Samba所需的samba.schema，确保LDAP支持Samba专用的属性字段
  2. 在Keycloak侧扩展用户模型，新增Samba认证必填的自定义属性：sambaNTPassword、sambaSID、uidNumber、gidNumber、sambaPrimaryGroupSID
  3. 开发轻量同步脚本（Python/Go均可），调用Keycloak Admin REST API拉取全量/增量用户数据，将用户属性、密码哈希同步写入OpenLDAP；密码哈希可在Keycloak侧配置兼容NTLM的哈希策略，也可在同步环节实时计算NT hash写入对应字段
  4. 配置Samba的smb.conf启用LDAP认证，指向部署好的OpenLDAP实例，共享权限、用户组规则可直接沿用Samba原生的LDAP映射逻辑
• 优势：用户数据完全由Keycloak统一管理，Samba侧无需做核心逻辑改造，兼容性和稳定性最高。

方案2：Keycloak LDAP写回插件（低开发量方案） #

• 核心逻辑：无需自行开发全量同步逻辑，使用Keycloak的第三方LDAP同步插件开启用户写回功能，Keycloak内用户新增、修改、删除操作会自动同步到绑定的LDAP实例。
• 配置要点：
  1. 在Keycloak用户联邦模块添加LDAP源，编辑配置时开启同步写回开关，将Keycloak用户属性和Samba要求的LDAP属性一一配置映射规则
  2. 密码写回需要单独配置，确保Keycloak可以获取到可转换为NT hash的密码格式，同步写入LDAP的sambaNTPassword字段
• 注意：插件版本需要和你当前使用的Keycloak大版本匹配，避免出现兼容性问题。

关于SAML方案的说明 #

你提到的SAML协议不适合直接对接Samba，Samba作为文件服务组件，原生仅支持NTLM、Kerberos、LDAP三类身份认证协议，不支持直接校验SAML断言。如果强行使用SAML需要在中间新增PAM认证代理层，复杂度高、故障点多，完全不如LDAP同步方案可靠，不推荐生产环境使用。

内容的提问来源于stack exchange，提问作者M-Jack