¿Es posible pasar la autenticación desde un antiguo servidor CAS 3.5.3 a un Keycloak más reciente 15.0.2 con SSO?

Tengo una aplicación existente de JSF que está protegida por un servidor CAS (versión 3.5.3). Debido a las personalizaciones, no puedo actualizar el servidor CAS a una nueva versión. Por lo tanto, no hay OIDC, OAuth2 ni otros protocolos de última generación disponibles. Solo CAS y una versión anterior de SAML, creo.

Me gustaría establecer SSO hacia un Keycloak externo de un proveedor de servicios. Quieren que configure un proveedor de identidad interno que se conecte a su IDP externo.

Ya he hecho esto antes con Keycloak, pero en ese caso anterior mi Keycloak interno ha sido el único punto de autenticación. Esta vez es CAS.

¿Hay alguna manera de pasar la autenticación desde CAS 3.5.3 a mi Keycloak interno sin iniciar sesión nuevamente?

He pensado en implementar un proveedor de almacenamiento de usuario personalizado SPI para conectar con mi base de datos de usuarios existente. Pero luego tendría que iniciar sesión nuevamente en mi Keycloak, ¿es esto cierto?

¿Es esto posible mediante la implementación del protocolo CAS en mi Keycloak interno utilizando una extensión de CAS? Creo que esto permite que Keycloak cree un cliente utilizando el protocolo CAS, pero no para SSO mediante un servidor CAS existente, y el usuario tiene que iniciar sesión en mi Keycloak. Por favor, corregidme si me equivoco.