Для клиентов типа bearer-only, когда приложение не пытается аутентифицировать пользователей, а только проверяет валидность токена, необходимо использовать класс NullAuthenticatedSessionStrategy
Так это же в документации к keycloak написано:
You must provide a session authentication strategy bean which should be of type RegisterSessionAuthenticationStrategy for public or confidential applications and NullAuthenticatedSessionStrategy for bearer-only applications.
и постоянные автомобильные пробки
Вы используете адаптер старой версии;
п. 1 не имеет смысла использовать т.к. в Spring уже есть замечательная реализация для разных провайдеров. Плюс к этому: https://www.keycloak.org/2022/02/adapter-deprecation
Так это же в документации к keycloak написано: