第 10 章 SSO 协议

授权代码流是基于浏览器的协议，它适合验证和授权基于浏览器的应用程序。它使用浏览器重定向来获取 身份和 访问令牌。

机密 客户端在为令牌交换临时代码时提供客户端机密。不需要 公共 客户端来提供客户端 secret。当 HTTPS 被严格强制执行并重定向为客户端注册的 URI 时，公共 客户端是安全的。HTML5/JavaScript 客户端必须是 公共 客户端，因为无法安全地将客户端 secret 传送到 HTML5/JavaScript 客户端。如需了解更多详细信息，请参阅管理客户端 章节。

红帽构建的 Keycloak 还支持代码 交换规范的概念验证。

Implicit Flow 是一个基于浏览器的协议。它与授权代码流类似，但请求较少且没有刷新令牌。

协议按如下方式工作：

REST 客户端使用 直接访问授予 代表用户获取令牌。这是一个 HTTP POST 请求，其中包含：

HTTP 响应包含 身份、访问和 刷新令牌。

客户端凭证授予 根据与客户端关联的服务帐户的元数据和权限创建一个令牌，而不是获取代表外部用户的令牌。REST 客户端使用客户端凭证授予。

如需更多信息，请参阅服务帐户章节。???

可以指定刷新令牌在被使用后被视为无效。这意味着，客户端必须始终从最后一次刷新响应保存刷新令牌，因为已经使用的旧刷新令牌，红帽构建的 Keycloak 不再被视为有效。这可以通过使用 Revoke Refresh token 选项设置，如 timeout 部分中指定的。???

红帽构建的 Keycloak 还支持没有刷新令牌轮转的情况。在这种情况下，在登录期间返回刷新令牌，但刷新令牌请求的后续响应不会返回新的刷新令牌。建议在 FAPI 2 草案规格中 为实例提供这种方法。在红帽构建的 Keycloak 中，可以使用 客户端策略 跳过刷新令牌轮转。您可以将 executor suppress-refresh-token-rotation 添加到某些客户端配置集，并将客户端策略配置为触发配置集，这意味着将跳过刷新令牌轮转的客户端。

这供运行在有有限输入功能的互联网连接设备或缺少合适的浏览器的客户端使用。以下是协议的简短概述：

此功能供希望通过直接与 OpenID 提供程序通信的客户端使用，而无需通过 OAuth 2.0 的授权代码授权代码授权代码等用户浏览器重定向。以下是协议的简短概述：

管理员可以将 Client Initiated Backchannel Authentication (CIBA)相关操作配置为 每个域的 CIBA 策略。

另请参阅，请参阅红帽构建的 Keycloak 文档的其他位置，如保护应用程序和服务指南的 back channel Authentication Endpoint 部分，以及保护应用程序和服务指南的 Client Initiated Backchannel Authentication Grant 部分。

kc.[sh|bat] start --spi-ciba-auth-channel-ciba-http-auth-channel-http-authentication-channel-uri=https://backend.internal.example.com

POST [delegation_reception]

POST /realms/[realm]/protocol/openid-connect/ext/ciba/auth/callback

这是一个基于浏览器的注销。应用程序定期从红帽构建的 Keycloak 获取会话状态信息。当会话在红帽构建的 Keycloak 时终止时，应用程序会注意到并触发其自身的注销。

这也是基于浏览器的注销，退出开始将用户重定向到红帽构建的 Keycloak 上的特定端点。当用户点击一些应用程序页面中的 Log Out 链接时，通常会发生这个重定向，之前使用 Red Hat build of Keycloak 来验证用户。

用户重定向到 logout 端点后，红帽构建的 Keycloak 将向客户端发送注销请求，从而使他们在本地用户会话无效，并在注销过程完成后可能会将用户重定向到一些 URL。当用户没有使用 id_token_hint 参数时，可能会有选择要求确认注销。注销后，只要它作为参数提供，用户会自动重定向到指定的 post_logout_redirect_uri。请注意，如果包含 post_logout_redirect_uri，则需要包含 client_id 或 id_token_hint 参数。另外，post_logout_redirect_uri 参数需要匹配客户端 配置中指定的 Valid Post Logout Redirect URI 之一。

根据客户端配置，可以通过前端频道或通过后端通道将注销请求发送到客户端。对于依赖于上一节中描述的会话管理前端浏览器客户端，红帽构建的 Keycloak 不需要向它们发送任何注销请求；这些客户端会自动检测浏览器中的 SSO 会话。

要将客户端配置为通过前端通道接收登出请求，请查看 Front-Channel Logout 客户端设置。使用此方法时，请考虑以下几点：

如果没有通过前端注销启用客户端，则红帽构建的 Keycloak 将首先尝试使用 Back-Channel Logout URL 通过 back-channel 发送注销请求。如果没有定义，服务器将回退到使用 Admin URL。

这是一个基于非浏览器的注销，它使用红帽构建的 Keycloak 和客户端之间的直接后备通道通信。Red Hat build of Keycloak 发送 HTTP POST 请求，其中包含一个注销令牌到登录到红帽构建的 Keycloak 的所有客户端。这些请求在 Red Hat build of Keycloak 中发送到注册的 backchannel logout URL，应该会在客户端触发注销。