如何实现GSuite与KeyCloak用户双向同步及身份生命周期管理

现有身份架构基础 #

• 当前以 G Suite 作为绝大多数内部企业应用的 SSO 身份源，存量用户均为内部员工
• 新引入 Keycloak 作为全局统一身份管理平台，负责所有应用、对外门户的安全策略管控，同时覆盖内部员工、外部用户的全量身份权限管理

核心同步需求 #

需实现两类双向同步能力，可参考 OKTA 的同类成熟同步特性落地：

• G Suite 到 Keycloak 的持续同步：将 G Suite 内的用户、用户组数据自动持续同步至 Keycloak，最终由 Keycloak 作为唯一统一身份源，集中管理全量内外部用户、用户组及权限配置
• Keycloak 到 G Suite 的变更同步：支持在 Keycloak 侧执行用户预配、取消预配操作，相关身份变更数据可自动同步至 G Suite 侧生效

同步落地时需优先保证两边身份唯一标识的映射一致性，避免出现重复账号、权限不匹配等问题

内容的提问来源于stack exchange，提问作者Bassel Kh