Azure AD 与 Keycloak 功能对比

核心功能定位

Azure AD
微软推出的企业级身份认证与访问管理（IAM）服务，深度集成Microsoft 365生态，支持SaaS应用单点登录（SSO）、多因素认证（MFA）和条件访问策略。

Keycloak
开源IAM解决方案，提供身份代理、社交登录、OAuth 2.0/OpenID Connect支持，适用于自建身份服务器场景，支持跨平台部署。

---

认证协议支持

Azure AD

• 原生支持OpenID Connect、OAuth 2.0、SAML 2.0
• 提供专有协议（如WS-Fed）与微软生态兼容
• 支持LDAP同步但需通过Azure AD Connect桥接

Keycloak

• 完整支持OpenID Connect、OAuth 2.0、SAML 2.0
• 内置LDAP/Active Directory集成能力
• 支持社交登录（Google、Facebook等）和自定义协议适配

---

部署与扩展性

Azure AD

• 纯云服务模式，无本地化部署选项
• 扩展依赖Azure API和PowerShell脚本
• 企业版支持跨租户同步（B2B/B2C场景）

Keycloak

• 支持容器化（Docker）、Kubernetes及传统服务器部署
• 可修改源码或通过SPI（Service Provider Interface）扩展功能
• 提供RESTful管理API和自定义主题模板

---

权限与策略管理

Azure AD

• 基于角色的访问控制（RBAC）与动态组成员
• 条件访问策略（如设备合规性、地理位置）
• 权限审计日志保留期依赖订阅版本

Keycloak

• 基于策略的细粒度权限模型（Policies/Permissions）
• 支持自定义属性映射和令牌声明
• 日志可导出至第三方SIEM系统

---

成本与适用场景

Azure AD

• 免费版基础功能有限，高级功能需P1/P2订阅（每用户$6起）
• 适合已使用Microsoft生态的企业

Keycloak

• 零许可费用，但需自建服务器和维护成本
• 适合需要高度定制化或混合云部署的场景

---

技术决策建议

• 选择Azure AD：若企业重度依赖微软产品（如Teams、SharePoint），且需快速实现云原生SSO。
• 选择Keycloak：若需控制数据主权、支持非标协议或降低成本，且具备运维能力。

注：两者可通过联合身份（如SAML信任）实现混合部署。