第 2 章 使用 OpenID Connect 保护应用程序和服务

流程

1. 在 WAR 的 WEB-INF 目录中创建一个 keycloak.json 适配器配置文件。

   此配置文件的格式在 Java 适配器配置 部分描述。

2. 在 web.xml 中将 auth-method 设置为 KEYCLOAK。

3. 使用标准 servlet 安全性为您的 URL 指定角色基础限制。

   例如：

   <web-app xmlns="http://java.sun.com/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
         version="3.0">
   
       <module-name>application</module-name>
   
       <security-constraint>
           <web-resource-collection>
               <web-resource-name>Admins</web-resource-name>
               <url-pattern>/admin/*</url-pattern>
           </web-resource-collection>
           <auth-constraint>
               <role-name>admin</role-name>
           </auth-constraint>
           <user-data-constraint>
               <transport-guarantee>CONFIDENTIAL</transport-guarantee>
           </user-data-constraint>
       </security-constraint>
       <security-constraint>
           <web-resource-collection>
               <web-resource-name>Customers</web-resource-name>
               <url-pattern>/customers/*</url-pattern>
           </web-resource-collection>
           <auth-constraint>
               <role-name>user</role-name>
           </auth-constraint>
           <user-data-constraint>
               <transport-guarantee>CONFIDENTIAL</transport-guarantee>
           </user-data-constraint>
       </security-constraint>
   
       <login-config>
           <auth-method>KEYCLOAK</auth-method>
           <realm-name>this is ignored currently</realm-name>
       </login-config>
   
       <security-role>
           <role-name>admin</role-name>
       </security-role>
       <security-role>
           <role-name>user</role-name>
       </security-role>
   </web-app>

流程

1. 在 /WEB-INF/web.xml 文件中声明必要的：

   • <security-constraint> 元素中的安全约束
   • <login-config> 元素中的登录配置

   • <security-role> 元素中的安全角色。

     例如：

     <?xml version="1.0" encoding="UTF-8"?>
     <web-app xmlns="http://java.sun.com/xml/ns/javaee"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
              version="3.0">
     
         <module-name>customer-portal</module-name>
     
         <welcome-file-list>
             <welcome-file>index.html</welcome-file>
         </welcome-file-list>
     
         <security-constraint>
             <web-resource-collection>
                 <web-resource-name>Customers</web-resource-name>
                 <url-pattern>/customers/*</url-pattern>
             </web-resource-collection>
             <auth-constraint>
                 <role-name>user</role-name>
             </auth-constraint>
         </security-constraint>
     
         <login-config>
             <auth-method>BASIC</auth-method>
             <realm-name>does-not-matter</realm-name>
         </login-config>
     
         <security-role>
             <role-name>admin</role-name>
         </security-role>
         <security-role>
             <role-name>user</role-name>
         </security-role>
     </web-app>

2. 使用 authenticator 将 jetty-web.xml 文件添加到 /WEB-INF/jetty-web.xml 文件中。

   例如：

   <?xml version="1.0"?>
   <!DOCTYPE Configure PUBLIC "-//Mort Bay Consulting//DTD Configure//EN"
    "http://www.eclipse.org/jetty/configure_9_0.dtd">
   <Configure class="org.eclipse.jetty.webapp.WebAppContext">
       <Get name="securityHandler">
           <Set name="authenticator">
               <New class="org.keycloak.adapters.jetty.KeycloakJettyAuthenticator">
               </New>
           </Set>
       </Get>
   </Configure>

3. 在 WAR /WEB-INF/ 目录中，创建一个新文件 keycloak.json。此配置文件的格式在 Java Adapters Config 部分中描述。另外，还可以使此文件在外部可用，如 配置外部适配器 中所述。

4. 确保您的 WAR 应用程序导入 org.keycloak.adapters.jetty，可能 META-INF/MANIFEST.MF 文件，位于 Import-Package 标头下。在项目中使用 maven-bundle-plugin，在清单中可以正确地生成 OSGI 标头。请注意，软件包的"*"解析不会导入 org.keycloak.adapters.jetty 软件包，因为它不被应用程序或 Blueprint 或 Spring 描述符使用，而是在 jetty-web.xml 文件中使用。

   要导入的软件包列表可能类似如下：

   org.keycloak.adapters.jetty;version="15.0.8.redhat-00001",
   org.keycloak.adapters;version="15.0.8.redhat-00001",
   org.keycloak.constants;version="15.0.8.redhat-00001",
   org.keycloak.util;version="15.0.8.redhat-00001",
   org.keycloak.*;version="15.0.8.redhat-00001",
   *;resolution:=optional

流程

1. Red Hat Single Sign-On 提供 org.keycloak.adapters.osgi.undertow.PaxWebIntegrationService，它允许注入 jetty-web.xml 并为您的应用程序配置安全约束。您需要在应用程序中的 OSGI-INF/blueprint/blueprint.xml 文件中声明此类服务。请注意，servlet 需要依赖于它。配置示例：

   <?xml version="1.0" encoding="UTF-8"?>
   <blueprint xmlns="http://www.osgi.org/xmlns/blueprint/v1.0.0"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xsi:schemaLocation="http://www.osgi.org/xmlns/blueprint/v1.0.0
              http://www.osgi.org/xmlns/blueprint/v1.0.0/blueprint.xsd">
   
       <!-- Using jetty bean just for the compatibility with other fuse services -->
       <bean id="servletConstraintMapping" class="org.eclipse.jetty.security.ConstraintMapping">
           <property name="constraint">
               <bean class="org.eclipse.jetty.util.security.Constraint">
                   <property name="name" value="cst1"/>
                   <property name="roles">
                       <list>
                           <value>user</value>
                       </list>
                   </property>
                   <property name="authenticate" value="true"/>
                   <property name="dataConstraint" value="0"/>
               </bean>
           </property>
           <property name="pathSpec" value="/product-portal/*"/>
       </bean>
   
       <bean id="keycloakPaxWebIntegration" class="org.keycloak.adapters.osgi.PaxWebIntegrationService"
             init-method="start" destroy-method="stop">
           <property name="jettyWebXmlLocation" value="/WEB-INF/jetty-web.xml" />
           <property name="bundleContext" ref="blueprintBundleContext" />
           <property name="constraintMappings">
               <list>
                   <ref component-id="servletConstraintMapping" />
               </list>
           </property>
       </bean>
   
       <bean id="productServlet" class="org.keycloak.example.ProductPortalServlet" depends-on="keycloakPaxWebIntegration">
       </bean>
   
       <service ref="productServlet" interface="javax.servlet.Servlet">
           <service-properties>
               <entry key="alias" value="/product-portal" />
               <entry key="servlet-name" value="ProductServlet" />
               <entry key="keycloak.config.file" value="/keycloak.json" />
           </service-properties>
       </service>
   
   </blueprint>

   • 您可能需要在项目内具有 WEB-INF 目录（即使您的项目不是 Web 应用程序），并创建 /WEB-INF/jetty-web.xml 和 /WEB-INF/keycloak.json 文件，如 Classic WAR 应用 部分。请注意，您不需要 web.xml 文件作为 security-constraints 在蓝图配置文件中声明。

2. META-INF/MANIFEST.MF 中的 Import-Package 必须至少包含这些导入：

   org.keycloak.adapters.jetty;version="15.0.8.redhat-00001",
   org.keycloak.adapters;version="15.0.8.redhat-00001",
   org.keycloak.constants;version="15.0.8.redhat-00001",
   org.keycloak.util;version="15.0.8.redhat-00001",
   org.keycloak.*;version="15.0.8.redhat-00001",
   *;resolution:=optional

1. 将 META-INF/spring/beans.xml 添加到您的应用中，并通过注入 KeycloakJettyAuthenticator 的 Jetty SecurityHandler 声明 httpj:engine-factory。CFX JAX-WS 应用程序的配置可能类似如下：

   <?xml version="1.0" encoding="UTF-8"?>
   
   <beans xmlns="http://www.springframework.org/schema/beans"
          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
          xmlns:jaxws="http://cxf.apache.org/jaxws"
          xmlns:httpj="http://cxf.apache.org/transports/http-jetty/configuration"
          xsi:schemaLocation="
           http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
           http://cxf.apache.org/jaxws http://cxf.apache.org/schemas/jaxws.xsd
           http://www.springframework.org/schema/osgi http://www.springframework.org/schema/osgi/spring-osgi.xsd
           http://cxf.apache.org/transports/http-jetty/configuration http://cxf.apache.org/schemas/configuration/http-jetty.xsd">
   
       <import resource="classpath:META-INF/cxf/cxf.xml" />
   
       <bean id="kcAdapterConfig" class="org.keycloak.representations.adapters.config.AdapterConfig">
           <property name="realm" value="demo"/>
           <property name="resource" value="custom-cxf-endpoint"/>
           <property name="bearerOnly" value="true"/>
           <property name="authServerUrl" value="http://localhost:8080/auth" />
           <property name="sslRequired" value="EXTERNAL"/>
       </bean>
   
       <bean id="keycloakAuthenticator" class="org.keycloak.adapters.jetty.KeycloakJettyAuthenticator">
           <property name="adapterConfig">
               <ref local="kcAdapterConfig" />
           </property>
       </bean>
   
       <bean id="constraint" class="org.eclipse.jetty.util.security.Constraint">
           <property name="name" value="Customers"/>
           <property name="roles">
               <list>
                   <value>user</value>
               </list>
           </property>
           <property name="authenticate" value="true"/>
           <property name="dataConstraint" value="0"/>
       </bean>
   
       <bean id="constraintMapping" class="org.eclipse.jetty.security.ConstraintMapping">
           <property name="constraint" ref="constraint"/>
           <property name="pathSpec" value="/*"/>
       </bean>
   
       <bean id="securityHandler" class="org.eclipse.jetty.security.ConstraintSecurityHandler">
           <property name="authenticator" ref="keycloakAuthenticator" />
           <property name="constraintMappings">
               <list>
                   <ref local="constraintMapping" />
               </list>
           </property>
           <property name="authMethod" value="BASIC"/>
           <property name="realmName" value="does-not-matter"/>
       </bean>
   
       <httpj:engine-factory bus="cxf" id="kc-cxf-endpoint">
           <httpj:engine port="8282">
               <httpj:handlers>
                   <ref local="securityHandler" />
               </httpj:handlers>
               <httpj:sessionSupport>true</httpj:sessionSupport>
           </httpj:engine>
       </httpj:engine-factory>
   
       <jaxws:endpoint
                       implementor="org.keycloak.example.ws.ProductImpl"
                       address="http://localhost:8282/ProductServiceCF" depends-on="kc-cxf-endpoint" />
   
   </beans>

   对于 CXF JAX-RS 应用，端点配置中的唯一区别可能取决于 engine-factory：

   <jaxrs:server serviceClass="org.keycloak.example.rs.CustomerService" address="http://localhost:8282/rest"
       depends-on="kc-cxf-endpoint">
       <jaxrs:providers>
           <bean class="com.fasterxml.jackson.jaxrs.json.JacksonJsonProvider" />
       </jaxrs:providers>
   </jaxrs:server>

2. META-INF/MANIFEST.MF 中的 Import-Package 必须包含这些导入：

流程

1. 在 $FUSE_HOME/etc/system.properties 文件中添加这些属性：

   hawtio.keycloakEnabled=true
   hawtio.realm=keycloak
   hawtio.keycloakClientConfig=file://${karaf.base}/etc/keycloak-hawtio-client.json
   hawtio.rolePrincipalClasses=org.keycloak.adapters.jaas.RolePrincipal,org.apache.karaf.jaas.boot.principal.RolePrincipal

2. 在您的域中，在 Red Hat Single Sign-On Admin Console 中创建客户端。例如，在 Red Hat Single Sign-On demo realm 中，创建一个客户端 hawtio-client，将 public 指定为 Access Type，并指定指向 Hawtio 的重定向 URI：您还必须配置对应的 Web Origin （本例中为 http://localhost:8181）。
3. 使用以下示例中所示的内容，在 $FUSE_HOME/etc 目录中创建 keycloak-hawtio-client.json 文件。根据您的 Red Hat Single Sign-On 环境，更改 realm、资源 和 auth-server-url 属性。resource 属性必须指向上一步中创建的客户端。此文件供客户端(Hawtio JavaScript 应用)侧使用。

1. 使用以下示例中所示的内容，在 $FUSE_HOME/etc dicrectory 中创建 keycloak-hawtio.json 文件。根据您的红帽单点登录环境，更改 realm 和 auth-server-url 属性。此文件供服务器(JAAS 登录模块)中的适配器使用。

   {
     "realm" : "demo",
     "resource" : "jaas",
     "bearer-only" : true,
     "auth-server-url" : "http://localhost:8080/auth",
     "ssl-required" : "external",
     "use-resource-role-mappings": false,
     "principal-attribute": "preferred_username"
   }

2. 启动 JBoss Fuse 6.3.0 Rollup 12 并安装 keycloak 功能（如果您还没有这么做）。Karaf 终端中的命令与此示例类似：

   features:addurl mvn:org.keycloak/keycloak-osgi-features/15.0.8.redhat-00001/xml/features
   features:install keycloak

3. 进入 http://localhost:8181/hawtio，并以 Red Hat Single Sign-On 域的用户身份登录。

   请注意，用户需要适当的域角色才能成功向 Hawtio 进行身份验证。可在 hawtio.roles 中的 $FUSE_HOME/etc/system.properties 文件中配置可用的角色。

流程

1. 在 /WEB-INF/web.xml 文件中声明必要的：

   • <security-constraint> 元素中的安全约束
   • <login-config> 元素中的登录配置。确保 < auth-method> 是 KEYCLOAK。

   • <security-role> 元素中的安全角色

     例如：

     <?xml version="1.0" encoding="UTF-8"?>
     <web-app xmlns="http://java.sun.com/xml/ns/javaee"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
              version="3.0">
     
         <module-name>customer-portal</module-name>
     
         <welcome-file-list>
             <welcome-file>index.html</welcome-file>
         </welcome-file-list>
     
         <security-constraint>
             <web-resource-collection>
                 <web-resource-name>Customers</web-resource-name>
                 <url-pattern>/customers/*</url-pattern>
             </web-resource-collection>
             <auth-constraint>
                 <role-name>user</role-name>
             </auth-constraint>
         </security-constraint>
     
         <login-config>
             <auth-method>KEYCLOAK</auth-method>
             <realm-name>does-not-matter</realm-name>
         </login-config>
     
         <security-role>
             <role-name>admin</role-name>
         </security-role>
         <security-role>
             <role-name>user</role-name>
         </security-role>
     </web-app>

2. 在 WAR /WEB-INF/ 目录中，创建一个新文件 keycloak.json。此配置文件的格式在 Java Adapters Config 部分中描述。另外，还可以使此文件在外部可用，如 配置外部适配器 中所述。

   例如：

   {
       "realm": "demo",
       "resource": "customer-portal",
       "auth-server-url": "http://localhost:8080/auth",
       "ssl-required" : "external",
       "credentials": {
           "secret": "password"
       }
   }

3. 与 Fuse 6 适配器不同，MANIFEST.MF 中不需要特殊的 OSGi 导入。

流程

1. Red Hat Single Sign-On 提供 org.keycloak.adapters.osgi.undertow.PaxWebIntegrationService，它允许为您的应用程序配置身份验证方法和安全性约束。您需要在应用程序中的 OSGI-INF/blueprint/blueprint.xml 文件中声明此类服务。请注意，servlet 需要依赖于它。配置示例：

   <?xml version="1.0" encoding="UTF-8"?>
   <blueprint xmlns="http://www.osgi.org/xmlns/blueprint/v1.0.0"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xsi:schemaLocation="http://www.osgi.org/xmlns/blueprint/v1.0.0 http://www.osgi.org/xmlns/blueprint/v1.0.0/blueprint.xsd">
   
       <bean id="servletConstraintMapping" class="org.keycloak.adapters.osgi.PaxWebSecurityConstraintMapping">
           <property name="roles">
               <list>
                   <value>user</value>
               </list>
           </property>
           <property name="authentication" value="true"/>
           <property name="url" value="/product-portal/*"/>
       </bean>
   
       <!-- This handles the integration and setting the login-config and security-constraints parameters -->
       <bean id="keycloakPaxWebIntegration" class="org.keycloak.adapters.osgi.undertow.PaxWebIntegrationService"
             init-method="start" destroy-method="stop">
           <property name="bundleContext" ref="blueprintBundleContext" />
           <property name="constraintMappings">
               <list>
                   <ref component-id="servletConstraintMapping" />
               </list>
           </property>
       </bean>
   
       <bean id="productServlet" class="org.keycloak.example.ProductPortalServlet" depends-on="keycloakPaxWebIntegration" />
   
       <service ref="productServlet" interface="javax.servlet.Servlet">
           <service-properties>
               <entry key="alias" value="/product-portal" />
               <entry key="servlet-name" value="ProductServlet" />
               <entry key="keycloak.config.file" value="/keycloak.json" />
           </service-properties>
       </service>
   </blueprint>

   您可能需要在项目内具有 WEB-INF 目录（即使您的项目不是 Web 应用），并创建 /WEB-INF/keycloak.json 文件，如 Classic WAR 应用 部分中所述。请注意，您不需要 web.xml 文件作为 security-constraints 在蓝图配置文件中声明。

2. 与 Fuse 6 适配器不同，MANIFEST.MF 中不需要特殊的 OSGi 导入。

流程

1. 将 OSGI-INF/blueprint/blueprint.xml 添加到您的应用中，然后添加正确的配置解析器与 Camel 配置 类似。在 httpu:engine-factory 中，使用 camel 配置声明 org.keycloak.adapters.osgi.undertow.CxfKeycloakAuthHandler 处理程序。CFX JAX-WS 应用程序的配置可能类似如下：

   <?xml version="1.0" encoding="UTF-8"?>
   <blueprint xmlns="http://www.osgi.org/xmlns/blueprint/v1.0.0"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xmlns:jaxws="http://cxf.apache.org/blueprint/jaxws"
              xmlns:cxf="http://cxf.apache.org/blueprint/core"
              xmlns:httpu="http://cxf.apache.org/transports/http-undertow/configuration".
              xsi:schemaLocation="
         http://cxf.apache.org/transports/http-undertow/configuration http://cxf.apache.org/schemas/configuration/http-undertow.xsd
         http://cxf.apache.org/blueprint/core http://cxf.apache.org/schemas/blueprint/core.xsd
         http://cxf.apache.org/blueprint/jaxws http://cxf.apache.org/schemas/blueprint/jaxws.xsd">
   
       <bean id="keycloakConfigResolver" class="org.keycloak.adapters.osgi.BundleBasedKeycloakConfigResolver" >
           <property name="bundleContext" ref="blueprintBundleContext" />
       </bean>
   
       <httpu:engine-factory bus="cxf" id="kc-cxf-endpoint">
           <httpu:engine port="8282">
               <httpu:handlers>
                   <bean class="org.keycloak.adapters.osgi.undertow.CxfKeycloakAuthHandler">
                       <property name="configResolver" ref="keycloakConfigResolver" />
                   </bean>
               </httpu:handlers>
           </httpu:engine>
       </httpu:engine-factory>
   
       <jaxws:endpoint implementor="org.keycloak.example.ws.ProductImpl"
                       address="http://localhost:8282/ProductServiceCF" depends-on="kc-cxf-endpoint"/>
   
   </blueprint>

   对于 CXF JAX-RS 应用，端点配置中的唯一区别可能取决于 engine-factory：

   <jaxrs:server serviceClass="org.keycloak.example.rs.CustomerService" address="http://localhost:8282/rest"
       depends-on="kc-cxf-endpoint">
       <jaxrs:providers>
           <bean class="com.fasterxml.jackson.jaxrs.json.JacksonJsonProvider" />
       </jaxrs:providers>
   </jaxrs:server>

2. META-INF/MANIFEST.MF 中的 Import-Package 必须包含这些导入：

流程

1. 在您的域中，在 Red Hat Single Sign-On Admin Console 中创建客户端。例如，在 Red Hat Single Sign-On demo realm 中，创建一个客户端 hawtio-client，将 public 指定为 Access Type，并指定指向 Hawtio 的重定向 URI：配置对应的 Web Origin （本例中为 http://localhost:8181）。设置客户端范围映射，以在 hawtio-client 客户端详情中包含 帐户 客户端客户端的 view-profile 客户端角色。

2. 使用以下示例中所示的内容，在 $FUSE_HOME/etc 目录中创建 keycloak-hawtio-client.json 文件。根据您的 Red Hat Single Sign-On 环境，更改 realm、资源 和 auth-server-url 属性。resource 属性必须指向上一步中创建的客户端。此文件供客户端(Hawtio JavaScript 应用)侧使用。

   {
     "realm" : "demo",
     "clientId" : "hawtio-client",
     "url" : "http://localhost:8080/auth",
     "ssl-required" : "external",
     "public-client" : true
   }

3. 使用以下示例中所示的内容，在 $FUSE_HOME/etc 目录中创建 keycloak-direct-access.json 文件。根据您的 Red Hat Single Sign-On 环境更改 realm 和 url 属性。此文件供 JavaScript 客户端使用。

   {
     "realm" : "demo",
     "resource" : "ssh-jmx-admin-client",
     "auth-server-url" : "http://localhost:8080/auth",
     "ssl-required" : "external",
     "credentials": {
       "secret": "password"
     }
   }

4. 使用以下示例中所示的内容，在 $FUSE_HOME/etc dicrectory 中创建 keycloak-hawtio.json 文件。根据您的红帽单点登录环境，更改 realm 和 auth-server-url 属性。此文件供服务器(JAAS 登录模块)中的适配器使用。

   {
     "realm" : "demo",
     "resource" : "jaas",
     "bearer-only" : true,
     "auth-server-url" : "http://localhost:8080/auth",
     "ssl-required" : "external",
     "use-resource-role-mappings": false,
     "principal-attribute": "preferred_username"
   }

5. 启动 JBoss Fuse 7.4.0 ，安装 Keycloak 功能。然后在 Karaf 终端中键入：

   system:property -p hawtio.keycloakEnabled true
   system:property -p hawtio.realm keycloak
   system:property -p hawtio.keycloakClientConfig file://\${karaf.base}/etc/keycloak-hawtio-client.json
   system:property -p hawtio.rolePrincipalClasses org.keycloak.adapters.jaas.RolePrincipal,org.apache.karaf.jaas.boot.principal.RolePrincipal
   restart io.hawt.hawtio-war

6. 进入 http://localhost:8181/hawtio，并以 Red Hat Single Sign-On 域的用户身份登录。

   请注意，用户需要适当的域角色才能成功向 Hawtio 进行身份验证。可在 hawtio.roles 中的 $FUSE_HOME/etc/system.properties 文件中配置可用的角色。

流程

1. 要使用 Maven 将初学者添加到项目中，请在依赖项中添加以下内容：

   <dependency>
       <groupId>org.keycloak</groupId>
       <artifactId>keycloak-spring-boot-starter</artifactId>
   </dependency>

2. 添加 Adapter BOM 依赖项：

   <dependencyManagement>
     <dependencies>
       <dependency>
         <groupId>org.keycloak.bom</groupId>
         <artifactId>keycloak-adapter-bom</artifactId>
         <version>15.0.8.redhat-00001</version>
         <type>pom</type>
         <scope>import</scope>
       </dependency>
     </dependencies>
   </dependencyManagement>

流程

1. 您可以通过普通的 Spring Boot 配置来配置 Spring Boot 适配器的域，而不是 keycloak.json 文件。例如：

   keycloak.realm = demorealm
   keycloak.auth-server-url = http://127.0.0.1:8080/auth
   keycloak.ssl-required = external
   keycloak.resource = demoapp
   keycloak.credentials.secret = 11111111-1111-1111-1111-111111111111
   keycloak.use-resource-role-mappings = true

   您可以通过设置 keycloak.enabled = false 来禁用 Keycloak Spring Boot Adapter （例如在测试中）。

2. 要配置 Policy Enforcer，与 keycloak.json 不同，请使用 policy-enforcer-config 而不是 policy-enforcer。

3. 指定通常位于 web.xml 中的 Jakarta EE 安全性配置。

   Spring Boot Adapter 会将 login-method 设置为 KEYCLOAK，并在启动时配置 security-constraints。以下是配置示例：

   keycloak.securityConstraints[0].authRoles[0] = admin
   keycloak.securityConstraints[0].authRoles[1] = user
   keycloak.securityConstraints[0].securityCollections[0].name = insecure stuff
   keycloak.securityConstraints[0].securityCollections[0].patterns[0] = /insecure
   
   keycloak.securityConstraints[1].authRoles[0] = admin
   keycloak.securityConstraints[1].securityCollections[0].name = admin stuff
   keycloak.securityConstraints[1].securityCollections[0].patterns[0] = /admin

1. 用户从一个应用程序发送注销请求
2. 应用程序向 Red Hat Single Sign-On 发送注销请求
3. Red Hat Single Sign-On 服务器使用户会话无效
4. 然后，Red Hat Single Sign-On 服务器使用与会话关联的 admin url 发送 backchannel 请求到应用程序
5. 当应用程序收到注销请求时，它会使对应的 HTTP 会话无效

1. 当新应用程序节点加入集群时，它会向 Red Hat Single Sign-On 服务器发送注册请求
2. 申请可能因配置的定期间隔重新授权于 Red Hat Single Sign-On
3. 如果 Red Hat Single Sign-On 服务器没有在指定超时内收到重新注册请求，则它会自动取消注册特定节点
4. 当 Red Hat Single Sign-On 中也被取消注册该节点，这通常是在节点关闭或应用程序取消部署过程中。没有调用非部署监听器时，这可能无法正常工作，这会导致自动取消注册