用途：为 Keycloak 身份与访问管理（IAM）提供系统化管理指引，覆盖新安装、领域与用户管理、客户端配置、认证与 SSO、授权与 RBAC、用户联邦（LDAP/AD）、安全加固、高可用与扩展、故障排查以及集成示例等场景，按任务加载对应参考文档。
主要能力：领域与用户/组管理；OIDC/SAML 客户端配置与作用域、映射器、服务账号；认证流程与 MFA（OTP/WebAuthn）；角色（领域角色、客户端角色、复合角色）与细粒度授权（UMA、策略、权限）；LDAP/Active Directory 集成与同步；密码策略、暴力破解防护、TLS 与审计等生产安全清单；集群、数据库调优、缓存、监控与备份/容灾；登录失败、令牌、同步、会话等问题的排查；.NET、Spring Boot、Node.js 等集成与令牌校验示例。
使用方式：按任务选择参考文件（realm-management、client-configuration、authentication-sso、authorization-rbac、user-federation、security-hardening、ha-scalability、troubleshooting、integration-examples）。开发环境可用 Docker 快速启动：docker run -d --name keycloak -p 8080:8080 -e KEYCLOAK_ADMIN=admin -e KEYCLOAK_ADMIN_PASSWORD=admin quay.io/keycloak/keycloak:latest start-dev。生产模式先构建再启动：bin/kc.sh build --db=postgres，配置 KC_DB、KC_DB_URL、KC_DB_USERNAME、KC_DB_PASSWORD、KC_HOSTNAME 后执行 bin/kc.sh start --optimized。管理 CLI 示例：bin/kcadm.sh config credentials --server http://localhost:8080 --realm master --user admin；bin/kcadm.sh create realms -s realm=my-realm -s enabled=true；bin/kcadm.sh create users -r my-realm -s username=john -s enabled=true；bin/kcadm.sh set-password -r my-realm --username john --new-password secret。导出导入：bin/kc.sh export --dir /backup --realm my-realm 与 bin/kc.sh import --dir /backup。连接应用的发现端点格式：{AuthServerUrl}/realms/{realm}/.well-known/openid-configuration。
适用场景：需要统一身份认证与授权管理的系统，多环境多租户领域划分、SSO 接入、MFA 启用、LDAP/AD 用户同步、RBAC 与细粒度授权，以及生产部署的安全与高可用规划。
限制：资料为管理操作指南，未提供具体版本兼容性、性能基准、价格或云托管服务等信息；具体参数取值需结合实际环境确认。