public class CustomUserStorageProviderFactory implements UserStorageProviderFactory<CustomUserStorageProvider>{

    [...]
    
    @Override
    public String getId(){
        return "CustomUserProvider";
    }

    /**
     * Création du Provider
     */
    @Override
    public CustomUserStorageProvider create(KeycloakSession session, ComponentModel model){
        boolean resetPwd = model.get(CONFIG_KEY_FORCE_PWD_RESET, true);
        return new CustomUserStorageProvider(session, model, new CustomUserService(session), resetPwd);
    }

    /**
     * Définition de l'affichage du SPI dans l'interface web Keycloak
     */
    @Override
    public List<ProviderConfigProperty> getConfigProperties(){
        return ProviderConfigurationBuilder.create()
            // Permet de configurer de l'URL du backend via l'interface Web Keycloak
            .property(
                "Backend", // nom
                "Backend URL", // label
                "The backend URL. Ex: http://localhost:8181", // help text
                ProviderConfigProperty.STRING_TYPE, // type
                "http://localhost:8181", // valeur par défaut
                null // options
            )
            // Permet de forcer ou non le changement de mot de passe de l'utilisateur
            .property(
                    "Force Reset Password at first authentication",
                    "Reset Password?",
                    "Force the user to reset his password at its first authentication",
                    ProviderConfigProperty.BOOLEAN_TYPE,
                    true,
                    null)
            .build;
    }
}

public class CustomUserStorageProvider implements UserStorageProvider, UserLookupProvider, CredentialInputValidator {

    [...]

    @Override
    public UserModel getUserById(RealmModel realm, String id){
        StorageId storageId = new StorageId(id);
        String username = storageId.getExternalId();
        return getUserByUsername(realm, username);
    }

    /**
     * L'appel à cette méthode permet de créer un utilisateur dans le stockage local de Keycloak, si celui-ci n'existe pas déjà
     */
    @Override
    public UserModel getUserByUsername(RealmModel realm, String username){
        return createAdapter(realm, username);
    }

    @Override
    public UserModel getUserByEmail(RealmModel realm, String email){
        return getUserByUsername(realm, username);
    }

    @Override
    public boolean supportsCredentialType(String credentialType){
        return PasswordCredentialType(credentialType);
    }

    @Override boolean isConfiguredFor(RealModel realm, UserModel user, String credentialType){
        return supportsCredentialType(credentialType);
    }

    @Override
    public boolean isValid(RealmModel realm, UserModel user, CredentialInput credentialInput){
        // On vérifie si l'utilisateur existe déjà dans le stockage local de Keycloak
        UserModel localUser = UserStoragePrivateUtil.userLocalStorage(session).getUserByUsername(realm, user.getUsername());
        
        // Si l'utilisateur existe mais qu'il ne contient pas l'attribut attendu, on doit appelé le backend
        if (locaUser != null && localUser.getAttributes().get(USER_ATTRIBUTE_ID) == null){
            // Mot de passe saisi par l'utilisateur qui sera envoyé au backend pour vérification (en clair ici pour l'exemple, mais à chiffrer pour plus de sécurité)
            String backendPassword = credentialInput.getChallengeResponse(); 
            
            // On appelle le backend pour récupérer l'utilisateur
            JsonNode retrievedUser = userService.getUserByUserName(user.getUsername(), backendPassword, model);

            // Si l'utilisateur a bien été récupéré, on lui ajoute l'attribut
            if (retrievedUser != null && !retrievedUser.isEmpty()){
                user.setSingleAttribute(USER_ATTRIBUTE_ID, retrievedUser.get("UserId").textValue()); // l'attribut dans la réponse est "UserId

                // Une fois l'attribut récupéré, on doit supprimer le lien entre notre UserStorageProvider et Keycloak, ce qui permettra à Keycloak de vérifier l'identité de l'utilisateur dans sa base de données lors de l'authentification au lieu de demander au backend.
                user.setFederationLink(null); 

                if (resetPwd) {
                    // Si requis, on force la réinitialisation du mot de passe lors de la première authentification de l'utilisateur
                    user.addRequiredAction(UserModel.RequiredAction.UPDATE_PASSWORD);
                }
                return true;
            }
            // Si l'utilisateur n'existe pas ou n'a pas pu être retrouvé dans le backend, on doit en supprimer toute trace dans Keycloak
            UserStoragePrivateUtil.userLocalStorage(session).removeuser(realm, user);
        }
        return false;
    }

    protected UserModel createAdapter(RealmModel realm, String username){
        // On récupère l'utilisateur depuis le stockage local de Keycloak
        UserModel localUser = UserStoragePrivateUtil.userLocalStorage(session).getUserByUsername(realm, username);

        // Si l'utilisateur n'existe pas dans le stockage local de Keycloak, on doit l'initialiser
        if (localUser == null){
            localUser = UserStoragePrivateUtil.userLocalStorage(session).addUser(realm, username);
            localUser.setEmail(username);
            localUser.setEmailVerified(true);
            localUser.setFederationLink(model.getId());
            localUser.setEnabled(true);
        }

        // On crée un nouvel Adapter (basé sur la classe AbstractUserAdapter)
        return new UserModelDelegate(localUser){
            @Override
            public String getUsername(){
                return username;
            }
            @Override
            public SubjectCredentialManager credentialManager(){
                return new UserCredentialManager(session, realm, this){};
            }
        };
    }
}