2.3. 使用 OIDC 保护应用程序

流程

1. 导航到红帽构建的 Keycloak Admin 控制台。

2. 创建客户端。

   1. 单击 Clients，然后单击 Create client。
   2. 确保将 Client type 设置为 OpenID Connect。
   3. 输入客户端 ID。例如，jbeap-oidc。
   4. 点击 Next。
   5. 在 Capability Config 选项卡中，确保将 Authentication Flow 设置为 Standard 流，并且 Direct access 授予。
   6. 点击 Next。
   7. 在 Login settings 选项卡中，输入 Valid redirect URIs 的值。输入页面在成功身份验证后应重定向的 URL，例如 http://localhost:8080/simple-webapp-example/secured/*。
   8. 点击 Save。

3. 查看适配器配置。

   1. 点 Action，然后点 Download adapter config。

   2. 选择 Keycloak OIDC JSON 作为 Format Option 来查看连接参数。

      {
        "realm": "example_realm",
        "auth-server-url": "http://localhost:8180/",
        "ssl-required": "external",
        "resource": "jbeap-oidc",
        "public-client": true,
        "confidential-port": 0
      }

      在将 JBoss EAP 应用程序配置为使用红帽构建的 Keycloak 作为身份提供程序时，您可以使用参数，如下所示：

      "provider-url" : "http://localhost:8180/realms/example_realm",
      "ssl-required": "external",
      "client-id": "jbeap-oidc",
      "public-client": true,
      "confidential-port": 0

流程

1. 配置应用程序的 web.xml 以保护应用程序资源。

   <?xml version="1.0" encoding="UTF-8"?>
   
   <web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
       metadata-complete="false">
   
       <security-constraint>
           <web-resource-collection>
               <web-resource-name>secured</web-resource-name>
               <url-pattern>/secured</url-pattern>
           </web-resource-collection>
   
           <auth-constraint>
               <role-name>Admin</role-name>    1
           </auth-constraint>
       </security-constraint>
   
       <security-role>
           <role-name>*</role-name>
       </security-role>
   </web-app>

   1

   仅允许具有 Admin 角色的用户访问应用。要允许具有任何角色的用户访问应用程序，请使用通配符 ** 作为 role-name 的值。

2. 要使用 OpenID Connect 保护应用，可以更新部署配置或配置 elytron-oidc-client 子系统。

   注意

   如果您在部署配置和 elytron-oidc-client 子系统中配置 OpenID Connect，则 elytron-oidc-client 子系统 secure-deployment 属性中的配置优先于应用部署描述符中的配置。

   • 更新部署配置。

     1. 在应用程序的 web.xml 中添加登录配置，并将验证方法指定为 OIDC。

        <web-app>
        ...
            <login-config>
                <auth-method>OIDC</auth-method>     1
            </login-config>
        ...
        </web-app>

        1

        使用 OIDC 保护应用程序的安全。

     2. 在 WEB-INF 目录中创建 oidc.json 文件，如下所示：

        {
          "provider-url" : "http://localhost:8180/realms/example_realm",
          "ssl-required": "external",
          "client-id": "jbeap-oidc",
          "public-client": true,
          "confidential-port": 0
        }

   • 配置 elytron-oidc-client 子系统：

     • 要保护应用程序，请使用以下管理 CLI 命令：

       /subsystem=elytron-oidc-client/secure-deployment=simple-oidc-example.war/:add(client-id=jbeap-oidc,provider-url=http://localhost:8180/realms/example_realm,public-client=true,ssl-required=external)

3. 在应用程序根目录中，使用以下命令编译应用程序：

   $ mvn package

4. 部署应用。

   $ mvn wildfly:deploy

验证

1. 在浏览器中，导航到 http://localhost:8080/simple-webapp-example/secured。

   您将被重定向到红帽构建的 Keycloak 登录页面。

2. 您可以使用您在红帽构建的 Keycloak 中定义的用户凭证登录。