Keycloak 15.0.2开启LDAP时UPDATE_PASSWORD邮件机制相关问题咨询

问题1解答 #

你的理解存在两处偏差：

• LDAP联邦用户的密码永远不会被持久化到Keycloak本地存储，无论Edit Mode配置为何值，密码校验全程委托LDAP服务器完成，Keycloak本地不会留存任何LDAP用户的密码副本
• 仅当Edit Mode设置为WRITABLE，且你已在LDAP映射器中配置了密码映射规则的前提下，用户完成UPDATE_PASSWORD邮件动作的密码设置流程后，新密码才会被Keycloak同步写入LDAP服务器，该操作不会在Keycloak本地存储密码。

问题2解答 #

不会出现数据不一致或损坏问题：
Edit Mode为None时，Keycloak对LDAP联邦用户的所有属性（包括密码）仅有只读权限，你触发UPDATE_PASSWORD动作后，用户提交新密码时会直接返回权限不足的报错，不会修改Keycloak或LDAP的任何数据。

问题3解答 #

• 将LDAP编辑模式设置为WRITABLE本身不属于不良实践，也不存在固有安全漏洞，风险完全取决于Keycloak绑定LDAP使用的服务账号权限：只要该服务账号仅被授予修改用户密码、必要属性的最小权限，没有额外的高权限（比如删除用户、修改OU结构等），该方案就是安全合规的。
• 若因架构规则不能开启WRITABLE模式，可以选择直接调用OpenLDAP的接口修改用户密码作为替代方案：因为Keycloak本身不存储LDAP用户的密码，直接修改LDAP侧的密码后，用户下次在Keycloak登录时会自动使用新密码校验，无需额外同步操作。

现有代码适配说明 #

你当前使用keycloak-admin-client触发UPDATE_PASSWORD邮件的代码无需修改，只要LDAP侧开启WRITABLE模式并配置好密码映射器，即可直接对LDAP联邦用户生效。

内容的提问来源于stack exchange，提问作者leonaugust