Keycloak作为IdP对接Azure AD实现Power BI认证的方案咨询

针对你的两个问题，实际可落地的方案如下：

问题1：配置先跳转Keycloak认证再跳转Azure AD的流程 #

你找到的Azure AD外部身份提供商联邦方案完全适用于这个场景，核心是把Keycloak配置为Azure AD的可信任SAML身份源，具体配置分为两端：

• Azure AD侧配置：进入Azure AD外部身份标识模块，添加SAML类型的外部身份提供商，填入Keycloak的SAML元数据、签名证书信息，配置声明映射规则，确保Keycloak返回的用户唯一标识（通常为邮箱）可以匹配到Azure AD内预先创建的来宾用户，同时开启对应租户域名的联邦认证路由规则。
• Keycloak侧配置：在Keycloak中新建SAML客户端，填入Azure AD提供的实体ID、断言消费服务端点，配置需要返回给Azure AD的标准用户声明，开启断言签名保证安全性。

如果要实现优先跳转Keycloak的逻辑，有两种可选实现：

1. 你自己的Web应用中构造Power BI跳转链接时，在Azure AD登录请求参数中添加whr参数指定Keycloak对应的联邦域名，Azure AD会自动将未登录用户跳转至Keycloak完成认证，已有Keycloak会话的用户会直接完成认证回调。
2. 也可以将Azure AD配置为Keycloak的身份代理（Broker），完全符合你之前将目标应用绑定Keycloak为IdP的配置习惯，用户所有访问都会先经过Keycloak的会话校验，认证完成后自动携带信息完成Azure AD侧的登录。

问题2：是否可以直接跳转至指定Power BI应用 #

可以实现。你只需要在构造Azure AD登录请求时，将redirect_uri参数设置为目标Power BI应用的完整访问地址，同时确保该地址已经加入Azure AD中Power BI应用注册的回调地址白名单，Azure AD完成全链路认证后会直接将用户跳转至对应的Power BI应用页面，无需额外导航操作。

内容的提问来源于stack exchange，提问作者giusepperr95