Keycloak对接Azure SAML微软侧登录成功后提示登录超时如何解决

首先从你提供的Keycloak日志可以定位到两个核心错误，按优先级修复即可： #

1. 修复「断言不是发给当前SP」错误 #

这个错误直接对应日志里的Assertion ... is not addressed to this SP记录，是SAML配置不匹配导致的：

• 进入Keycloak对应Realm的「身份提供商」设置页，打开你配置的Azure SAML提供商配置，找到服务提供商实体ID配置项，复制完整值
• 进入Azure AD的企业应用SAML配置页，检查「标识符（实体ID）」配置，确保和你刚才复制的Keycloak SP实体ID完全一致，注意大小写、末尾斜杠、http/https协议头都不能有差异，Keycloak默认SP实体ID格式为https://<你的Keycloak对外域名>/realms/<Realm名称>

2. 修复「断言过期」错误 #

你已经排除了Docker时钟不同步的问题，按以下优先级排查：

• 调整SAML断言允许时钟偏差：在Keycloak的Azure SAML提供商配置页，找到允许的断言时钟偏差配置项，默认值为0秒，先修改为60秒，避免两边服务毫秒级的时间差触发过期校验
• 校验Keycloak前端地址配置：进入Realm的「常规设置」页，检查Frontend URL配置，必须是你实际对外访问Keycloak的完整地址（比如Nginx反向代理后的地址，不能填容器内部地址），地址不匹配会导致SAML校验逻辑误判断言过期
• 校验Azure回复URL配置：回到Azure AD企业应用SAML配置页，检查「回复URL（断言使用者服务URL）」配置，必须和Keycloak Azure SAML提供商配置页显示的Assertion Consumer Service POST Binding URL完全一致，默认格式为https://<你的Keycloak对外域名>/realms/<Realm名称>/broker/<IdP别名>/endpoint

如果以上配置都核对无误仍报错，可以在Keycloak启动参数中添加-Dkeycloak.saml.debug=true开启SAML调试日志，直接对比返回的断言报文里的收件人、有效期字段和本地配置是否匹配。

内容的提问来源于stack exchange，提问作者Comforse