keycloak-pattern/docs/google-claim-to-role.md

Google claim-to-role mapping

hd=example.test인 upstream OIDC identity에는 Keycloak realm role employee-role을 부여한다. 매핑 키는 email이 아니라 Google subject이며, role 조건에 쓰는 hd claim은 mock provider와 실제 Google provider에서 같은 계약을 사용한다.

Realm import는 oidc-role-idp-mapper를 선언한다. 실제 Google 설정 스크립트도 같은 mapper를 upsert한다. 따라서 재실행해도 mapper가 중복되지 않는다.

검증:

./scripts/verify-google-claim-to-role.sh

검증기는 mock Google 로그인, Authorization Code + PKCE 교환, 최종 Keycloak access token의 realm_access.roles를 차례로 확인한다.