java - 跨领域身份验证后的 Keycloak 领域特定授权

Question

是否可以触发任何机制来为 Keycloak 中经过身份验证的用户(跨领域身份验证后的链接用户)获取领域特定的角色？

我的公司有自己的企业身份验证和授权服务。我已经使用调用我们的公司身份验证服务的用户联合(插件)配置了一个隔离的“仅身份验证”领域。这工作得很好 - 我们在不同的领域(A 和 B)中有应用程序，其身份提供者指向上述领域的代理客户端。这些 ID 提供程序设置为(在首次登录流程上)创建迁移的领域用户并将其链接到原始领域，这样我们就能够建立 SSO。

现在我们需要在领域 A 和 B 中分配领域特定的角色。为此，我尝试添加另一个(特定于授权的)UserFederation 插件(尝试从 ImportedUserValidation 拦截“验证”，以调用我们的授权公司服务)——这次是在领域 A 和 B 上，但它从未被触发。可能是由于其身份提供者的存在？我的特定授权机制是否应该在登录后流程下以某种方式设置？

有什么建议吗？

非常感谢，问候

Answer 1

找到了一种使用用户联合的方法，有点麻烦 - 如果用户不存在于领域中，它就可以工作。因此，首先我将其缓存策略定义为 MAX_LIFESPAN (几分钟)，然后在我的插件(实现 UserLookupProvider)的 getUserByUsername 上，我创建一个用户模型(来自 AbstractUserAdapterFederatedStorage)覆盖

public Set getRoleMappings() {...

通过这种方法，我可以从我的公司服务检索我的领域特定的用户角色