服务器管理指南

流程

1. 点菜单中的 Realm settings。

2. 点 Login 选项卡。

   Login 标签页

   

3. 将 Forgot 密码 切换为 ON。

   忘记密码？ 链接会显示在您的登录页面中。

   忘记密码链接

   

4. 在 Email 选项卡中指定 Host 和 From，以便红帽构建的 Keycloak 能够发送重置电子邮件。

5. 单击此链接，使用户可以输入其用户名或电子邮件地址，并收到一封电子邮件，以重置其凭据。

   忘记密码页面

   

流程

1. 点菜单中的 Authentication。
2. 点 Flows 选项卡。

3. 选择 Reset Credentials 流。

   重置凭证流

   

   如果您不想重置 OTP，请将 Reset - Conditional OTP 子流要求设置为 Disabled。

4. 点菜单中的 Authentication。
5. 点 Required actions 选项卡。

6. 确保启用了 Update Password。

   所需操作

   

流程

1. 点菜单中的 Realm settings。
2. 点 Login 选项卡。

3. 将 Remember Me 开关切换为 On。

   Login 标签页

   

   在保存了此设置后，remember me 复选框显示在域的登录页面上。

   请记住我

   

流程

1. 在管理控制台中选择域。
2. 点菜单中的 Realm settings。
3. 点 Keys 选项卡。
4. 点 Providers 选项卡。
5. 单击 Add provider，再选择 rsa 生成的。
6. 在 Priority 字段中输入数字。此数字决定了新密钥对是否成为活动密钥对。最高数字使密钥对处于活动状态。
7. 为 AES Key size 选择一个值。
8. 点击 Save。

流程

1. 在管理控制台中选择域。
2. 单击 Realm Settings。

3. 点 Keys 选项卡。

   此时会出现 Active keys 列表。

4. 在带有 RSA 密钥的行中，单击 Public Keys 下的 Certificate。

   证书以文本形式出现。

5. 将证书保存到文件中，并将其放在这些行中。

   ----Begin Certificate----
   <Output>
   ----End Certificate----

   Copy to Clipboard Toggle word wrap
6. 使用 keytool 命令将密钥文件转换为 PEM 格式。

7. 从密钥存储中删除当前的 RSA 公钥证书。

   keytool -delete -keystore <keystore>.jks -storepass <password> -alias <key>

   Copy to Clipboard Toggle word wrap

8. 将新证书导入到密钥存储中

   keytool -importcert -file domain.crt -keystore <keystore>.jks -storepass <password>  -alias <key>

   Copy to Clipboard Toggle word wrap

9. 重新构建应用。

   mvn clean install wildfly:deploy

   Copy to Clipboard Toggle word wrap

流程

1. 在管理控制台中选择域。
2. 单击 Realm settings。
3. 点 Keys 选项卡。
4. 点 Providers 选项卡。
5. 单击 Add provider，再选择 rsa。
6. 在 Priority 字段中输入数字。此数字决定了新密钥对是否成为活动密钥对。
7. 点 Private RSA Key 旁边的 Browse…​ 来上传私钥文件。
8. 如果您的私钥有一个签名证书，请点击 Browse…​ 旁边的 X509 Certificate 来上传证书文件。如果没有上传证书，Red Hat build of Keycloak 会自动生成一个自签名证书。
9. 点击 Save。

流程

1. 在管理控制台中选择域。
2. 点菜单中的 Realm settings。
3. 点 Keys 选项卡。
4. 点 Providers 选项卡。
5. 单击 Add provider，再选择 java-keystore。
6. 在 Priority 字段中输入数字。此数字决定了新密钥对是否成为活动密钥对。
7. 为 Keystore 输入一个值。
8. 输入 Keystore Password 的值。
9. 输入 Key Alias 的值。
10. 输入 Key Password 的值。
11. 点 Save。

流程

1. 在管理控制台中选择域。
2. 点菜单中的 Realm settings。
3. 点 Keys 选项卡。
4. 点 Providers 选项卡。
5. 单击您要进行被动的密钥的供应商。
6. 将 Active 切换到 Off。
7. 点击 Save。

流程

1. 在管理控制台中选择域。
2. 点菜单中的 Realm settings。
3. 点 Keys 选项卡。
4. 点 Providers 选项卡。
5. 单击您要进行被动的密钥的供应商。
6. 将 Enabled 切换到 Off。
7. 点击 Save。

流程

1. 点菜单中的 Clients。
2. 点 security-admin-console。
3. 向下滚动到 Access settings 部分。
4. 填写 Admin URL 字段。
5. 点 Advanced 选项卡。
6. 在 Revocation 部分中，点 Set to now。
7. 单击 Push。

流程

1. 点菜单中的 User Federation。

   用户联邦

   

2. 单击 Add LDAP provider。

   红帽构建的 Keycloak 会进入 LDAP 配置页面。

流程

1. 使用以下命令运行 FreeIPA 服务器：

    docker run --name freeipa-server-container -it \
    -h server.freeipa.local -e PASSWORD=YOUR_PASSWORD \
    -v /sys/fs/cgroup:/sys/fs/cgroup:ro \
    -v /var/lib/ipa-data:/data:Z freeipa/freeipa-server

   Copy to Clipboard Toggle word wrap

   server.freeipa.local 的参数 -h 代表 FreeIPA/IdM 服务器主机名。将 YOUR_PASSWORD 更改为您自己的密码。

2. 容器启动后，将 /etc/hosts 文件改为包括：

   x.x.x.x     server.freeipa.local

   Copy to Clipboard Toggle word wrap

   如果没有进行此更改，您必须设置 DNS 服务器。

3. 使用以下命令在 IPA 域中注册您的 Linux 服务器，以便 SSSD 联邦供应商在红帽构建的 Keycloak 上启动并运行：

    ipa-client-install --mkhomedir -p admin -w password

   Copy to Clipboard Toggle word wrap

4. 在客户端上运行以下命令验证安装是否正常工作：

    kinit admin

   Copy to Clipboard Toggle word wrap
5. 输入您的密码。

6. 使用以下命令将用户添加到 IPA 服务器：

   $ ipa user-add <username> --first=<first name> --last=<surname> --email=<email address> --phone=<telephoneNumber> --street=<street> --city=<city> --state=<state> --postalcode=<postal code> --password

   Copy to Clipboard Toggle word wrap

7. 使用 kinit 强制设置用户的密码。

    kinit <username>

   Copy to Clipboard Toggle word wrap

8. 输入以下内容来恢复普通的 IPA 操作：

   kdestroy -A
   kinit admin

   Copy to Clipboard Toggle word wrap

流程

1. 安装 sssd-dbus RPM。

   $ sudo yum install sssd-dbus

   Copy to Clipboard Toggle word wrap

2. 运行以下置备脚本：

   $ bin/federation-sssd-setup.sh

   Copy to Clipboard Toggle word wrap

   该脚本也可以用作为红帽构建的 Keycloak 配置 SSSD 和 PAM 的指南。它对 /etc/sssd/sssd.conf 进行以下更改：

     [domain/your-hostname.local]
     ...
     ldap_user_extra_attrs = mail:mail, sn:sn, givenname:givenname, telephoneNumber:telephoneNumber
     ...
     [sssd]
     services = nss, sudo, pam, ssh, ifp
     ...
     [ifp]
     allowed_uids = root, yourOSUsername
     user_attributes = +mail, +telephoneNumber, +givenname, +sn

   Copy to Clipboard Toggle word wrap

   ifp 服务添加到 SSSD 中，并配置为允许 OS 用户通过这个接口对 IPA 服务器进行干预。

   该脚本还会创建一个新的 PAM 服务 /etc/pam.d/keycloak 以通过 SSSD 验证用户：

   auth    required   pam_sss.so
   account required   pam_sss.so

   Copy to Clipboard Toggle word wrap

3. 运行 dbus-send 以确保设置成功。

   dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserAttr string:<username> array:string:mail,givenname,sn,telephoneNumber
   
   dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserGroups string:<username>

   Copy to Clipboard Toggle word wrap

   如果设置成功，则每个命令分别显示用户的属性和组。如果有超时或错误，则在红帽构建的 Keycloak 上运行的联邦供应商无法检索任何数据。这个错误通常是因为服务器没有在 FreeIPA IdM 服务器中注册，或者没有访问 SSSD 服务的权限。

   如果您没有访问 SSSD 服务的权限，请确保运行红帽构建的 Keycloak 服务器的用户位于以下部分的 /etc/sssd/sssd.conf 文件中：

   [ifp]
   allowed_uids = root, yourOSUsername

   Copy to Clipboard Toggle word wrap

   ipaapi 系统用户是在主机内创建的。ifp 服务需要此用户。检查用户是否已在系统中创建。

   grep ipaapi /etc/passwd
   ipaapi:x:992:988:IPA Framework User:/:/sbin/nologin

   Copy to Clipboard Toggle word wrap

流程

1. 点菜单中的 User Federation。
2. 如果一切设置成功，则 Add Sssd providers 按钮将显示在页面中。点它。
3. 为新提供程序分配名称。
4. 点击 Save。

流程

1. 点菜单中的 Users。此时会显示 Users 页面。
2. 选择一个用户。
3. 点 Credentials 选项卡。
4. 在 Set Password 部分中输入新密码。

5. 单击 Set Password。

   注意

   如果 Temporary 为 ON，则用户必须在第一次登录时更改密码。要允许用户保留提供的密码，请将 Temporary 设置为 OFF。用户必须单击 Set Password 以更改密码。

流程

1. 点菜单中的 Users。此时会显示 Users 页面。
2. 选择一个用户。
3. 点 Credentials 选项卡。
4. 单击 Credential Reset。
5. 从列表中选择 Update Password。
6. 单击 Send Email。发送的电子邮件包含一个将用户定向到 Update Password 窗口的链接。
7. 另外，您可以设置电子邮件链接的有效性。这设置为 Realm Settings 中的 Tokens 选项卡中的默认预设置。

流程

1. 点主菜单中的 Users。此时会显示 Users 页面。
2. 选择一个用户。
3. 点 Credentials 选项卡。
4. 单击 Credential Reset。
5. 将 Reset Actions 设置为 Configure OTP。
6. 单击 Send Email。发送的电子邮件包含一个将用户定向到 OTP 设置页面 的链接。

流程

1. 在主菜单中，单击 Realm Settings。
2. 点 Login 选项卡。
3. 将用户 注册 切换为 ON。

流程

1. 点登录页面中的 Register 链接。此时会显示注册页面。
2. 输入用户配置文件信息。
3. 输入新密码。
4. 点 Register。

流程

1. 点菜单中的 Authentication。点 Flows 选项卡。
2. 点 注册 流。

3. 在 Conditions 和 Conditions 行中选择 Required。

   在注册时进行所需的条款和条件协议

   

流程

1. 点菜单中的 Users。
2. 从列表中选择一个用户。

3. 导航到 Required User Actions 列表。

   

4. 选择您要添加到帐户的所有操作。
5. 点操作名称旁边的 X 将其删除。
6. 选择要添加的操作后，点 Save。

流程

1. 点菜单中的 Authentication。
2. 点 Required Actions 选项卡。
3. 对于一个或多个所需操作，点 Set 作为默认操作 列中的复选框。当新用户第一次登录时，必须执行所选操作。

流程

1. 点菜单中的 Authentication。
2. 点 Required Actions 选项卡。
3. 启用 条款和条件 操作。
4. 编辑基本登录主题中的 terms.ftl 文件。

流程

1. 点主菜单中的 Users。此时会显示这个 Users 页面。

2. 在搜索框中输入您要搜索的用户的完整名称、姓氏、名或电子邮件地址。搜索返回符合您条件的所有用户。

   用于匹配用户的条件取决于搜索框中使用的语法：

   1. "somevalue" → 对字符串"somevalue"; 执行精确搜索；
   2. *somevalue* → 执行 infix 搜索, akin to a LIKE '%somevalue%' DB 查询;
   3. somevalue* 或 somevalue → 执行前缀搜索，类似于 LIKE 'somevalue%' DB 查询。

流程

1. 点主菜单中的 Users。此时会显示这个 Users 页面。
2. 单击 Default search 按钮，并将它切换到 Attribute 搜索。
3. 点 Select attributes 按钮，并指定要搜索的属性。
4. 选中 Exact search 复选框，以执行完全匹配或未选中，以使用 infix 搜索属性值。
5. 点 Search 按钮执行搜索。它返回与条件匹配的所有用户。

流程

1. 点菜单中的 Authentication。
2. 点 Required Actions 选项卡。

3. 在 Delete Account 行中选择 Enabled。

   删除所需操作标签的帐户

   

流程

1. 点菜单中的 Users。
2. 选择一个用户。
3. 点 Role Mappings 选项卡。
4. 点 Assign role 按钮。
5. 单击 account delete-account。

6. 单击 Assign。

   delete-account 角色

   

1. 登录到帐户控制台。

2. 在 Personal Info 页面的底部，单击 Delete Account。

   删除帐户页面

   

3. 输入您的凭证并确认删除。

   删除确认

   

   注意

   此操作不可逆。红帽构建的 Keycloak 中的所有数据都将被删除。

流程

1. 点菜单中的 Clients。
2. 点 Sessions 选项卡。

3. 点客户端查看该客户端的会话。

   客户端会话

   

流程

1. 点菜单中的 Users。
2. 点 Sessions 选项卡。

3. 点一个用户查看该用户的会话。

   用户会话

   

1. 点菜单中的 Realm settings。
2. 点 User registration 选项卡。

3. 点 Default Groups 选项卡。

   默认组

   

流程

1. 点菜单中的 Authentication。
2. 单击列表中的 Browser 项，以查看详细信息。

流程

1. 点菜单中的 Authentication。
2. 点 Create flow。

流程

1. 点菜单中的 Authentication。
2. 点 Flows 选项卡。
3. 点 Create flow。
4. 输入 Browser Password-less 作为名称。
5. 点 Create。
6. 点 Add execution。
7. 从列表中选择 Cookie。
8. 点击 Add。
9. 为 Cookie 验证类型选择 Alternative，以将其要求设置为替代。
10. 点 Add step。
11. 从列表中选择 Kerberos。
12. 点击 Add。
13. 点 Add step。
14. 从列表中选择 Identity Provider Redirector。
15. 点击 Add。
16. 为 Identity Provider Redirector 身份验证类型选择 Alternative 来将其要求设置为替代。
17. 点 Add sub-flow。
18. 输入 Forms 作为名称。
19. 点击 Add。

20. 为 Forms 验证类型选择 Alternative，以将其要求设置为替代。

    浏览器流的常见部分

    

21. 点 Forms 执行的 + 菜单。
22. 选择 Add step。
23. 从列表中选择 Username Form。
24. 点击 Add。

1. 点 Forms 子流的 + 菜单。
2. 点 Add sub-flow。
3. 输入 Authentication 作为名称。
4. 点击 Add。
5. 选择 Authentication authentication type 是必需的，以设置其要求。
6. 点 Authentication 子流的 + 菜单。
7. 点 Add step。
8. 从列表中选择 WebAuthn Passwordless Authenticator。
9. 点击 Add。
10. 为 Webauthn Passwordless Authenticator 身份验证类型选择替代方案，以将其要求设置为替代。
11. 点 Authentication 子流的 + 菜单。
12. 点 Add sub-flow。
13. 输入 Password with OTP 作为名称。
14. 点击 Add。
15. 选择 Alternative for the Password with OTP authentication type，将其要求设置为替代。
16. 点 带有 OTP 子流的 Password 的 + 菜单。
17. 点 Add step。
18. 从列表中选择 Password Form。
19. 点击 Add。
20. 选择 Password Form authentication type 是必需的，以将其要求设置为 required。
21. 点 带有 OTP 子流的 Password 的 + 菜单。
22. 点 Add step。
23. 从列表中选择 OTP Form。
24. 点击 Add。
25. 点 OTP Form 身份验证类型的 Required，将其要求设置为 required。

1. 单击屏幕顶部的 Action 菜单。
2. 从菜单中选择 绑定流。
3. 点 Browser Flow 下拉列表。
4. 点击 Save。

流程

1. 点菜单中的 Authentication。
2. 点 Flows 选项卡。
3. 点 Create flow。
4. 输入 Browser Incl Step up Mechanism 作为名称。
5. 点击 Save。
6. 点 Add execution。
7. 从列表中选择 Cookie。
8. 点击 Add。
9. 为 Cookie 验证类型选择 Alternative，以将其要求设置为替代。
10. 点 Add sub-flow。
11. 输入 Auth Flow 作为名称。
12. 点击 Add。
13. 点 Alternative，Auth Flow 验证类型将它的 requirement 设置为 alternative。

1. 点 Auth Flow 的 + 菜单。
2. 点 Add sub-flow。
3. 输入 1st Condition Flow 作为名称。
4. 点击 Add。
5. 点 1st Condition Flow 验证类型的 Conditional 将要求设置为条件。
6. 点 1st Condition Flow 的 + 菜单。
7. 单击 Add condition。
8. 从列表中选择 Conditional - Level Of Authentication。
9. 点击 Add。
10. 点 Conditional - Level Of Authentication authentication type 来将其要求设置为 required。
11. 点 iwl iwl (gear 图标)。
12. 输入 Level 1 作为别名。
13. 在验证级别(LoA)输入 1。
14. 将 Max Age 设置为 36000。这个值以秒为单位，相当于 10 小时，这是在 realm 中设置的默认 SSO Session Max 超时。因此，当用户使用此级别进行身份验证时，后续的 SSO 登录可以重新使用这个级别，用户不需要在用户会话结束前与这个级别进行身份验证，默认为 10 小时。

15. 点 Save

    为第一个身份验证级别配置条件

    

16. 点 1st Condition Flow 的 + 菜单。
17. 点 Add step。
18. 从列表中选择 Username Password Form。
19. 点击 Add。

1. 点 Auth Flow 的 + 菜单。
2. 点 Add sub-flow。
3. 输入 2nd Condition Flow 作为一个别名。
4. 点击 Add。
5. 点 2nd Condition Flow 验证类型的 Conditional 将要求设置为条件。
6. 点 2nd Condition Flow 的 + 菜单。
7. 单击 Add condition。
8. 从项目列表中选择 Conditional - Level Of Authentication。
9. 点击 Add。
10. 点 Conditional - Level Of Authentication authentication type 来将其要求设置为 required。
11. 点 iwl iwl (gear 图标)。
12. 输入 Level 2 作为别名。
13. 在验证级别(LoA)输入 2。
14. 将 Max Age 设置为 0。因此，当用户进行身份验证时，这个级别仅对当前身份验证有效，但不对后续任何 SSO 身份验证有效。因此，在请求此级别时，用户始终需要再次使用此级别进行身份验证。

15. 点 Save

    为第二个身份验证级别配置条件

    

16. 点 2nd Condition Flow 的 + 菜单。
17. 点 Add step。
18. 从列表中选择 OTP Form。
19. 点击 Add。
20. 点 OTP Form 身份验证类型的 Required，将其要求设置为 required。

1. 单击屏幕顶部的 Action 菜单。
2. 从列表中选择 Bind flow。
3. 从下拉菜单中选择 浏览器流。
4. 点击 Save。

1. 对于级别 1 条件，最大期限配置为 300 秒。
2. 在不请求任何证书的情况下发送登录请求。将使用级别 1，用户需要使用用户名和密码进行身份验证。令牌将具有 acr=1。
3. 另一个登录请求将在 100 秒后发送。由于 SSO，用户会自动进行身份验证，令牌将返回 acr=1。
4. 另一登录请求在 201 秒后发出（自 2 中的身份验证后计算为 301 秒）由于 SSO，用户会自动进行身份验证，但令牌将返回 cr=0，因为级别 1 被视为过期。
5. 发送另一个登录请求，但现在它会在 claims 参数中明确请求 ACR 级别 1。用户将被要求重新使用用户名/密码进行身份验证，然后在令牌中返回 acr=1。

1. 在您的 Kerberos 数据库中添加一些用户主体。您还可以将您的 Kerberos 与 LDAP 集成，因此用户帐户从 LDAP 服务器置备。

2. 为"HTTP"服务添加服务主体。例如，如果红帽构建的 Keycloak 服务器在 www.mydomain.org 上运行，请添加服务主体 HTTP/www.mydomain.org@<kerberos realm&gt;。

   在 MIT Kerberos 上，您将运行一个 "kadmin" 会话。在带有 MIT Kerberos 的机器上，您可以使用以下命令：