Форма авторизации при Keycloak предоставляется самим Keycloak?

Да, при обычном браузерном OpenID Connect-входе приложение перенаправляет пользователя на страницу входа Keycloak. Само приложение не обязано собирать пароль.

После успешной аутентификации браузер возвращается на разрешённый redirect URI с кодом, который обменивают на токены по выбранному flow. Внешний вид страницы Keycloak можно настраивать темой; вход также может перенаправляться к внешнему провайдеру.

Для API обычно требуется проверка access token, а не собственная форма. Не следует передавать пользовательский пароль через backend только ради копирования штатного экрана входа.

Источник: www.keycloak.org.