第 12 章 管理 OpenID Connect 和 SAML 客户端

流程

1. 点菜单中的 Clients。

2. 单击 Create client。

   创建客户端

   

3. 将 Client type 设置为 OpenID Connect。

4. 输入 客户端 ID。

   此 ID 是一个字母数字字符串，用于 OIDC 请求以及红帽构建的 Keycloak 数据库来识别客户端。

5. 为客户端提供 名称。

   如果您计划本地化这个名称，请设置替换字符串值。例如，字符串值，如 ${myapp}。如需更多信息 ，请参阅服务器开发人员指南。

6. 点击 Save。

1. 选择要使用的归档格式。
2. 输入 密钥密码。
3. 输入 存储密码。
4. 点 Generate。

1. 选择证书的存档格式。
2. 输入存储密码。
3. 单击 Import File 来选择证书文件。
4. 点 Import。

流程

1. 单击菜单中的 Realm Settings。
2. 点 Client Policies 选项卡。

3. 在 Profiles 页面上，单击 Create client profile。

   创建配置集

   

4. 为 Name 输入任何名称。
5. 输入描述帮助您识别 描述 的配置文件的用途。

6. 点 Save。

   此操作会创建配置集，并可让您配置 executors。

7. 点 Add executor 为这个配置集配置 executor。

   创建配置集 executor

   

8. 选择 Executor Type 的 secret-rotation。
9. 为 Secret Expiration 输入每个 secret 的最长持续时间时间（以秒为单位）。

10. 为 Rotated Secret Expiration 输入每个轮转 secret 的最长持续时间时间（以秒为单位）。

    警告

    请记住，Rotated Secret Expiration 值必须始终小于 Secret Expiration。

11. 输入时间（以秒为单位）后，任何更新操作都会为 Remain Expiration Time 更新客户端。

12. 点击 Add。

    在上例中：

    • 每个 secret 都在一周内有效。
    • 轮转的 secret 在两天后过期。
    • 更新动态客户端的窗口在 secret 过期前一天开始。
13. 返回到 Client Policies 选项卡。
14. 点 Policies。

15. 单击 Create client policy。

    创建 Client Secret Rotation 策略

    

16. 为 Name 输入任何名称。
17. 输入描述，帮助您识别 描述 策略的用途。

18. 点 Save。

    此操作会创建策略，并可让您将策略与配置集关联。它还允许您配置策略执行的条件。

19. 在 Conditions 下，点 Add condition。

    创建 Client Secret Rotation Policy Condition

    

20. 要将行为应用到所有机密客户端，请在 Condition Type 字段中选择 client-access-type

    注意

    要应用到特定的客户端组，另一种方法是选择 Condition Type 字段中的 client-roles 类型。这样，您可以创建特定的角色，并为每个角色分配自定义轮转配置。

21. 将机密 添加到 字段 Client Access Type 中。
22. 点击 Add。

23. 返回到策略设置，在 Client Profiles 下，单击 Add client profile，然后从列表中选择 Weekly Client Secret Rotation Profile，然后点 Add。

    客户端 Secret 轮转策略

    

流程

1. 点菜单中的 Clients。
2. 选择您的客户端。
3. 点 Settings 选项卡。
4. 将 客户端身份验证 切换为 On。
5. 选择 服务帐户角色。
6. 点击 Save。
7. 配置客户端凭据。
8. 点 Scope 选项卡。
9. 验证您有角色，或者将 Full Scope Allowed 切换到 ON。
10. 点 Service Account Roles 选项卡
11. 为您的客户端配置此服务帐户可用的角色。

1. 前端客户端应用程序需要针对红帽构建的 Keycloak 进行身份验证。
2. 红帽构建的 Keycloak 验证用户。
3. 红帽构建的 Keycloak 向应用程序发布令牌。
4. 应用使用令牌来调用不可信服务。
5. 不受信任的服务将响应返回给应用程序。但是，它会保留应用令牌。
6. 然后，不受信任的服务使用应用令牌调用可信服务。这会导致安全性问题，因为不受信任的服务可能会滥用令牌来代表客户端应用程序访问其他服务。

1. 前端应用程序针对红帽构建的 Keycloak 进行身份验证。
2. 红帽构建的 Keycloak 验证用户。

3. 红帽构建的 Keycloak 向应用程序发布令牌。应用程序知道它需要调用不受信任的服务，以便在发送到红帽构建的 Keycloak 的 身份验证请求中放置 scope=<untrusted service > （请参阅 Client Scopes 部分 以了解更多有关 scope 参数的详细信息）。

   向应用程序发布的令牌包含对其受众中的不受信任的服务的引用（"audience": [ "<untrusted service>" ]，它声明客户端使用此访问令牌来调用不受信任的服务。

4. 不受信任的服务调用带有令牌的可信服务。调用不成功，因为可信服务会检查令牌的受众，并发现其受众只针对不受信任的服务。这个行为是正常的，安全性不会被破坏。