2.4. SAML을 사용하여 애플리케이션 보안

프로세스

1. Red Hat build of Keycloak Admin Console으로 이동합니다.

2. 클라이언트를 생성합니다.

   1. 클라이언트 를 클릭한 다음 클라이언트 생성을 클릭합니다.
   2. SAML 을 클라이언트 유형으로 선택합니다.

   3. 보안할 애플리케이션의 URL을 클라이언트 ID 로 입력합니다. 예: http://localhost:8080/simple-webapp-example/secured/.

      중요

      클라이언트 ID는 애플리케이션의 URL과 정확히 일치해야 합니다. 클라이언트 ID가 일치하지 않으면 다음과 유사한 오류가 표시됩니다.

      2023-05-17 19:54:31,586 WARN  [org.keycloak.events] (executor-thread-0) type=LOGIN_ERROR, realmId=eba0f106-389f-4216-a676-05fcd0c0c72e, clientId=null, userId=null, ipAddress=127.0.0.1, error=client_not_found, reason=Cannot_match_source_hash

   4. 클라이언트 이름을 입력합니다. 예를 들면 jbeap-saml 입니다.
   5. 다음을 클릭합니다.

   6. 다음 정보를 입력합니다.

      • 루트 URL: 애플리케이션의 URL입니다(예: http://localhost:8080/simple-webapp-example/ ).

      • 홈 URL: 애플리케이션의 URL입니다(예: http://localhost:8080/simple-webapp-example/ ).

        중요

        Home URL을 설정하지 않으면 클라이언트 구성의 SP entityID 가 비어 있고 오류가 발생합니다.

        • 관리 CLI 명령을 사용하는 경우 다음과 같은 오류가 발생합니다.

          Can't reset to root in the middle of the path @72

        각 구성 파일에서 SP entityID 값을 정의하여 오류를 해결할 수 있습니다.

      • 유효한 리디렉션 URI: 사용자가 로그인한 후 허용되는 URI입니다(예: http://localhost:8080/simple-webapp-example/secured/* ).

      • 마스터 SAML 처리 URL: 애플리케이션의 URL 다음에 saml 를 사용합니다. 예: http://localhost:8080/simple-webapp-example/saml.

        중요

        URL에 saml 를 추가하지 않으면 리디렉션 오류가 발생합니다.

        자세한 내용은 SAML 클라이언트 생성을 참조하십시오.

프로세스

1. jboss-eap-installation-manager 를 사용하여 필요한 Keycloak SAML 어댑터 계층을 서버에 추가합니다. 다음은 사용 가능한 계층의 세부 정보입니다.

   • 기능 팩: org.keycloak:keycloak-saml-adapter-galleon-pack.

   • 레이어:

     • Keycloak-client-saml: 이 계층을 사용하여 서블릿을 보호합니다.

     • Keycloak-client-saml- Cryostat: 이 계층을 사용하여 서블릿의 ID를 Jakarta Enterprise Cryostat로 전파합니다.

       JBoss EAP에서 기능 팩 및 계층을 추가하는 방법에 대한 자세한 내용은 Red Hat JBoss Enterprise Application Platform 설치 방법 가이드의 jboss-eap-installation-manager를 사용하여 기존 JBoss EAP 서버에 기능 팩 추가 에서 참조하십시오.

2. 애플리케이션 리소스를 보호하도록 애플리케이션의 web.xml 을 구성합니다.

   <?xml version="1.0" encoding="UTF-8"?>
   
   <web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
       metadata-complete="false">
   
       <security-constraint>
           <web-resource-collection>
               <web-resource-name>secured</web-resource-name>
               <url-pattern>/secured</url-pattern>
           </web-resource-collection>
   
           <auth-constraint>
               <role-name>Admin</role-name>    

   1

   
           </auth-constraint>
       </security-constraint>
   
       <security-role>
           <role-name>*</role-name>
       </security-role>
   </web-app>

   1

   Admin 역할이 있는 사용자만 애플리케이션에 액세스할 수 있습니다. 역할이 있는 사용자가 애플리케이션에 액세스할 수 있도록 허용하려면 와일드카드 ** 를 role-name 의 값으로 사용합니다.

3. 관리 CLI를 사용하거나 애플리케이션 배포를 업데이트하여 SAML으로 애플리케이션을 보호합니다.

   • 애플리케이션 배포를 업데이트합니다.

     1. 인증 방법을 SAML으로 지정하는 애플리케이션의 web.xml 에 로그인 구성을 추가합니다.

        <web-app>
        ...
            <login-config>
                <auth-method>SAML</auth-method>     

        1

        
            </login-config>
        ...
        </web-app>

        1

        SAML을 사용하여 애플리케이션을 보호합니다.

     2. Red Hat build of Keycloak에서 구성 keycloak-saml.xml 파일을 다운로드하여 애플리케이션의 internet -INF/ 디렉터리에 저장합니다.

        자세한 내용은 클라이언트 어댑터 구성 생성을 참조하십시오.

        keycloak-saml.xml의 예

        <keycloak-saml-adapter>
            <SP entityID=""
                sslPolicy="EXTERNAL"
                logoutPage="SPECIFY YOUR LOGOUT PAGE!">
                <Keys>
                    <Key signing="true">
                        <PrivateKeyPem>PRIVATE KEY NOT SET UP OR KNOWN</PrivateKeyPem>
                        <CertificatePem>...</CertificatePem>
                    </Key>
                </Keys>
                <IDP entityID="idp"
                     signatureAlgorithm="RSA_SHA256"
                     signatureCanonicalizationMethod="http://www.w3.org/2001/10/xml-exc-c14n#">
                    <SingleSignOnService signRequest="true"
                                         validateResponseSignature="true"
                                         validateAssertionSignature="false"
                                         requestBinding="POST"
                                         bindingUrl="http://localhost:8180/realms/example_saml_realm/protocol/saml"/>
                    <SingleLogoutService signRequest="true"
                                         signResponse="true"
                                         validateRequestSignature="true"
                                         validateResponseSignature="true"
                                         requestBinding="POST"
                                         responseBinding="POST"
                                         postBindingUrl="http://localhost:8180/realms/example_saml_realm/protocol/saml"
                                         redirectBindingUrl="http://localhost:8180/realms/example_saml_realm/protocol/saml"/>
                </IDP>
            </SP>
        </keycloak-saml-adapter>

        PrivateKeyPem 및 CertificatePem 의 값은 각 클라이언트에 대해 고유합니다.

   • 관리 CLI 사용.

     1. Red Hat build of Keycloak에서 클라이언트 구성 파일 keycloak-saml-subsystem.cli 를 다운로드합니다.

        자세한 내용은 클라이언트 어댑터 구성 생성을 참조하십시오.

        예제 keycloak-saml-subsystem.cli

        /subsystem=keycloak-saml/secure-deployment=YOUR-WAR.war/:add
        
        /subsystem=keycloak-saml/secure-deployment=YOUR-WAR.war/SP="http://localhost:8080/simple-webapp-example/"/:add(sslPolicy=EXTERNAL,logoutPage="SPECIFY YOUR LOGOUT PAGE!"
        
        /subsystem=keycloak-saml/secure-deployment=YOUR-WAR.war/SP="http://localhost:8080/simple-webapp-example/"/Key=KEY1:add(signing=true, \
        PrivateKeyPem="...", CertificatePem="...")
        
        /subsystem=keycloak-saml/secure-deployment=YOUR-WAR.war/SP="http://localhost:8080/simple-webapp-example/"/IDP=idp/:add( \
            SingleSignOnService={ \
                signRequest=true, \
                validateResponseSignature=true, \
                validateAssertionSignature=false, \
                requestBinding=POST, \
                bindingUrl=http://localhost:8180/realms/example-saml-realm/protocol/saml}, \
            SingleLogoutService={ \
                signRequest=true, \
                signResponse=true, \
                validateRequestSignature=true, \
                validateResponseSignature=true, \
                requestBinding=POST, \
                responseBinding=POST, \
                postBindingUrl=http://localhost:8180/realms/example-saml-realm/protocol/saml, \
                redirectBindingUrl=http://localhost:8180/realms/example-saml-realm/protocol/saml} \
        )
        
        /subsystem=keycloak-saml/secure-deployment=YOUR-WAR.war/SP="http://localhost:8080/simple-webapp-example/"/IDP=idp/:write-attribute(name=signatureAlgorithm,value=RSA_SHA256)
        
        /subsystem=keycloak-saml/secure-deployment=YOUR-WAR.war/SP="http://localhost:8080/simple-webapp-example/"/IDP=idp/:write-attribute(name=signatureCanonicalizationMethod,value=http://www.w3.org/2001/10/xml-exc-c14n#)

        PrivateKeyPem 및 CertificatePem 의 값은 각 클라이언트에 대해 고유합니다.

     2. 클라이언트 구성 파일에서 애플리케이션 WAR 의 모든 발생(예: simple-webapp-example.war )을 업데이트합니다.

        참고

        생성된 CLI 스크립트의 두 번째 문 끝에 누락되어 있습니다.

        /subsystem=keycloak-saml/secure-deployment=YOUR-WAR.war/SP=""/:add(sslPolicy=EXTERNAL,logoutPage="SPECIFY YOUR LOGOUT PAGE!"

        누락된 항목을 추가해야 합니다. )

     3. 관리 CLI를 사용하여 keycloak-saml-subsystem.cli 스크립트를 실행하여 JBoss EAP를 구성합니다.

        $ <EAP_HOME>/bin/jboss-cli.sh -c --file=<path_to_the_file>/keycloak-saml-subsystem.cli

4. 애플리케이션을 배포합니다.

   $ mvn wildfly:deploy

검증

1. 브라우저에서 애플리케이션 URL로 이동합니다. 예: http://localhost:8080/simple-webapp-example/secured.

   Keycloak 로그인 페이지의 Red Hat 빌드로 리디렉션됩니다.

2. Red Hat build of Keycloak에 정의된 사용자의 인증 정보로 로그인할 수 있습니다.