Wir haben Keycloak mit dem Plugin von @simsa jetzt seit gut 6 Wochen produktiv im Einsatz:
Nextcloud via user_oidc
WordPress via OAuth Single Sign On - SSO (OAuth Client)
Korga (E-Mail-Verteiler-Erweiterung für ChurchTools)
Das Format des sub Claim von Keycloak mit Doppelpunkten macht die Einrichtung hier und da etwas schwierig, aber mit der richtigen Konfiguration läuft es seitdem einwandfrei.
Weil Keycloak auf einem anderen Origin als ChurchTools läuft und damit de facto eine Man-in-the-Middle-Attacke wie eine Phishing Seite ausführt, bekommen Nutzer nur vom Apple Schlüsselbund kein Passwort oder das falsche Passwort vorgeschlagen und müssen es manuell auswählen. Das ist sicherlich keine tolle Lösung, aber für uns akzeptabel, bis ChurchTools irgendwann selbst OpenID Connect einführt.