能否实现Cognito用户池与Keycloak的身份联邦对接？

很多人刚接触Keycloak的时候容易有认知误区：看到默认适配项里列了LDAP、Kerberos，就觉得它只能对接这两类身份源。实际上Keycloak从设计之初就把多协议身份联邦作为核心能力，这两个选项只是针对传统企业域、本地目录场景做的特殊适配，对接云原生的Cognito用户池完全不需要硬凑这类非标能力，走标准协议就能低成本落地。

你的核心诉求是保留现有Cognito存储的其他公司客户数据，同时尽量不改动现有应用的登录流程、后端API的鉴权逻辑，优先选 基于OIDC协议的上游身份联邦模式，整体几乎没有额外改造成本：

• Cognito侧仅需做基础配置：在现有用户池中新建一个专门给Keycloak对接用的应用客户端，拿到对应的Client ID、Client Secret，把Keycloak的OIDC回调地址加到这个客户端的允许重定向白名单里就行，完全不需要动现有的用户存储、登录页面、业务校验逻辑。
• Keycloak侧走标准身份提供商配置：在对应业务领域里，新增OIDC v1.0类型的身份提供商，填入Cognito用户池的OIDC配置元数据地址，Keycloak会自动拉取授权、令牌、用户信息三类端点的配置，再把之前从Cognito拿的客户端凭证填进去，简单做下用户属性映射（把Cognito返回的用户唯一ID、邮箱、账号名对应到Keycloak的用户标准属性），整个对接就通了。
• 实际运行逻辑也很顺畅：用户打开你的应用时如果没登录，Keycloak会直接把人转到Cognito的登录页走原有认证流程，等Cognito校验完身份、把令牌回传给Keycloak，Keycloak就会在本地创建或者更新对应的联邦用户档案，再给应用签发出Keycloak体系下的标准JWT。你后端的API鉴权逻辑一点都不用改，因为前端传到后端的令牌还是Keycloak签发的合规凭证，之前的校验规则完全能用。

别折腾第三方桥接组件，把Cognito的用户目录转成LDAP接口再喂给Keycloak。这种方式本质是定时批量拉用户数据做同步，天生就有延迟——等Cognito那边把某个客户账号停了、改了密码，Keycloak这边没同步到的话，就会出现已经停用的用户还能正常访问的安全问题，纯纯是为了适配Keycloak默认的LDAP入口给自己加运维负担和安全风险，完全划不来。

• 要把Cognito侧客户端的令牌签名算法和Keycloak的OIDC校验配置对齐，Cognito默认是用RS256签JWT的，别在Keycloak侧配成只认HS256，不然会出现签名校验失败的问题。
• 可以在Keycloak里提前配好账号关联规则，避免同一个客户每次走Cognito登录都在Keycloak本地生成一个新的重复账号档案。

内容的提问来源于stack exchange，提问作者Palle