Keycloak身份提供商角色同步问题：外部角色移除未同步

这个问题我之前帮同事排查过——默认的「外部角色到角色」映射器确实是仅在首次登录或令牌初始发放时做一次性映射，不会自动追踪外部IDP（这里是Keycloak B）的角色变更并同步到Keycloak A。不过有几种可行的方案能满足你要的角色同步需求：

方案1：调整令牌刷新策略，触发周期性同步 #

这是最不需要开发成本的方案，核心是利用Keycloak刷新令牌时的用户信息拉取机制：

• 先在Keycloak A的身份提供商配置里，找到「同步」标签页，把同步模式改成「强制同步（Force）」。这个设置会让Keycloak在每次刷新令牌时，重新从Keycloak B拉取用户的最新属性和角色，然后重新执行映射逻辑。
• 接着调整客户端的令牌有效期：把客户端的「Access Token Lifespan」（访问令牌有效期）设为一个合理的较短值（比如15分钟），同时确保应用会在令牌过期前自动刷新。这样用户角色在Keycloak B被移除后，最长等待15分钟，下一次令牌刷新时，Keycloak A就会同步移除对应的角色Y。
• 👉 注意：这种方式不是实时的，但胜在零开发，适合对实时性要求不高的场景。

方案2：自定义SPI扩展，实现实时同步 #

如果需要角色变更立即生效，就得通过Keycloak的SPI扩展来实现：

• 思路1：监听Keycloak B的角色变更事件。当Keycloak B的管理员移除用户John的角色X时，触发一个事件钩子，通过Keycloak Admin API调用Keycloak A的接口，找到John在Keycloak A里的用户记录，移除角色Y。
• 思路2：在Keycloak A端写自定义角色映射器。继承Keycloak的AbstractOidcUserAttributeMapper，重写updateUserFromToken方法：每次用户登录或验证令牌时，主动调用Keycloak B的用户信息端点（/auth/realms/{realm}/userinfo）拉取最新角色列表，对比当前用户在Keycloak A中的角色，新增/移除对应的角色后，通过Admin API保存变更。
• 👉 提示：开发时要注意给服务账号分配足够的权限，确保能调用两个Keycloak实例的Admin API。

方案3：改用联邦用户存储替代OIDC身份提供商 #

如果可以调整当前的身份验证架构，把Keycloak B配置为Keycloak A的联邦用户存储（而不是OIDC身份提供商）：

• 联邦存储模式下，Keycloak A不会在本地存储用户角色，每次用户登录时都会直接从Keycloak B拉取最新的用户信息和角色。这样Keycloak B的角色变更会立即反映到Keycloak A的登录流程中，完全不需要手动同步。
• 👉 注意：这个方案需要重新配置用户存储，可能会影响现有登录流程，需要评估迁移成本。

额外注意事项 #

• 不管用哪种方案，都要确保两个Keycloak实例之间的网络连通性，并且服务账号拥有管理用户、角色的权限。
• 如果采用方案1，不要把令牌有效期设得太短，否则会导致用户频繁刷新令牌，影响体验。

内容的提问来源于stack exchange，提问作者SirKometa