使用keycloak UserStorageProvider SPI时出现问题

Question

我已经实现了一个自定义的Keycloak UserStorageProvider SPI（以下是官方文档https://www.Keycloak.org/docs/latest/server_development/index.html#_user-storage-spi的第11点），它执行以下操作：

1. 根据外部身份验证服务对用户（以前不存在于本地存储中）进行身份验证。
2. 将（针对自定义服务成功进行身份验证的）用户保存到Keycloak本地存储中。
3. 在KeyCloak的本地存储中导入用户后（用户成功登录后），管理员就可以从KeyCloak的管理控制台将角色映射到这些用户以获得资源授权。

我遇到的问题是：第1步和第2步工作得很好。关于第3步，我可以用保存在keycloak本地存储中的用户成功地登录自己（在外部UserProvider上找到它之后），但是（这里是问题的症结所在）；一旦我向导入用户添加任何角色，我就不能再将自己登录到该帐户中，并且日志显示，从该用户登录时起，我的自定义UserStorageProvider不再被使用。通过某种方式将角色附加到该用户会使我的自定义UserStorageProvider看不到该用户（即使我再次删除了该角色）。

在我试图实现的最佳情况下，我可以与用户“登录”（通过外部SPI的身份验证后保存在本地），甚至在为他分配角色之后。

任何反馈将非常感谢！！

谢谢你的建议。

Answer 1

如果将来有人遇到这个问题，当您实现一个提供商SPI时，您有两个选项，正如文档中提到的。并将用户导入本地Keycloak存储。如果采用导入/同步策略,则需要将联邦链接设置为提供程序,如下所示：

<UserModel instance>.setFederationLink(<ComponentModel id>);

如果您不这样做，那么Keycloak就不能“记住”那些导入的用户应该由您的提供程序SPI处理，并且通常您不会在自定义提供程序SPI中有预期的行为。