单个Spring Boot应用能否集成多个Keycloak Realm实现多租户？

我正尝试在单个Spring Boot应用中集成多个Keycloak Realm以实现多租户能力，请问使用Keycloak搭配Spring Boot应用是否可以实现该需求？

结论 #

完全可以实现，Keycloak原生支持多Realm隔离的多租户架构，和Spring Boot集成有成熟的落地方案，不需要二次改造Keycloak核心能力。

主流实现方案 #

方案1：官方适配器动态配置（适配复杂权限场景） #

基于Keycloak官方提供的KeycloakConfigResolver扩展点实现，适合需要用到Keycloak全量适配器能力（比如角色映射、会话管理、客户端授权）的场景：

• 在项目配置文件中按租户维度维护所有Realm的配置项，包含auth-server-url、realm、client-id、client-secret等必填参数
• 自定义实现KeycloakConfigResolver接口，重写配置解析逻辑，从请求中提取租户标识（比如请求头X-Tenant-ID、域名前缀、路径租户参数），动态返回对应Realm的配置实例
• 关闭Spring Boot自动装配的单例Keycloak配置，改用自定义的全局配置加载逻辑
• 示例核心代码：

@Component
public class MultiTenantKeycloakConfigResolver implements KeycloakConfigResolver {
    // 预加载所有租户对应的Keycloak配置
    private final Map<String, KeycloakDeployment> tenantConfigMap;

    public MultiTenantKeycloakConfigResolver(MultiTenantKeycloakProperties properties) {
        this.tenantConfigMap = properties.getTenantConfigs().entrySet().stream()
                .collect(Collectors.toMap(
                    Map.Entry::getKey,
                    entry -> KeycloakDeploymentBuilder.build(entry.getValue().toAdapterConfig())
                ));
    }

    @Override
    public KeycloakDeployment resolve(HttpFacade.Request request) {
        String tenantId = request.getHeader("X-Tenant-ID");
        if (!tenantConfigMap.containsKey(tenantId)) {
            throw new IllegalArgumentException("非法租户标识");
        }
        return tenantConfigMap.get(tenantId);
    }
}

方案2：自定义JWT校验（轻量高性能方案） #

不依赖Keycloak官方Starter，直接基于Spring Security OAuth2 Resource Server的原生能力实现，适合仅需要令牌校验、权限判别的场景：

• 自定义JWT解码器，根据请求携带的租户标识，动态选择对应Realm的JWKS公钥地址校验令牌签名
• 额外校验JWT的iss（签发者）字段是否与对应Realm的地址匹配，避免跨租户令牌盗用
• 不需要维护多套Keycloak适配器实例，性能开销更低，适配性更强

核心注意事项 #

• 租户标识传递要做安全校验，生产环境必须和JWT内的签发者、租户自定义声明做绑定校验，防止恶意篡改
• 不同Realm的角色、权限体系要做好隔离，避免跨租户的权限溢出问题
• 不需要鉴权的公共资源要提前在Spring Security配置中放行，不需要走Realm解析逻辑

内容的提问来源于stack exchange，提问作者Nitish Kumar