Keycloak

Keycloak ist ein Open-Source-Identity- und Access-Management-System. Es wird für Authentifizierung und Autorisierung genutzt. Keycloak unterstützt Standards wie OAuth2 OpenID Connect und SAML.

Keycloak wird zur zentralen Benutzerverwaltung verwendet. Es ermöglicht Single Sign-On für mehrere Anwendungen. Sicherheit und Benutzerverwaltung werden ausgelagert.

SSO erlaubt eine einmalige Anmeldung. Danach kann der Nutzer mehrere Anwendungen verwenden. Das verbessert Nutzererlebnis und Sicherheit.

Keycloak unterstützt OAuth2 OpenID Connect und SAML. Diese Standards sind weit verbreitet. Dadurch ist Keycloak flexibel integrierbar.

Ein Realm ist ein isolierter Sicherheitsbereich. Benutzer Rollen und Clients sind realm-spezifisch. Mehrere Realms können parallel existieren.

Ein Client ist eine Anwendung. Er authentifiziert Benutzer über Keycloak. Jeder Client hat eigene Einstellungen.

Public Clients können kein Secret sicher speichern. Confidential Clients besitzen ein Client-Secret. Server-Anwendungen nutzen meist Confidential Clients.

Rollen definieren Berechtigungen. Sie können Benutzern oder Clients zugewiesen werden. Keycloak unterscheidet Realm- und Client-Rollen.

Groups bündeln Benutzer. Rollen können Gruppen zugewiesen werden. Das vereinfacht Benutzerverwaltung.

User Federation verbindet externe Benutzerquellen. Beispiele sind LDAP oder Active Directory. Benutzer werden nicht lokal gespeichert.

Ein Identity Provider authentifiziert Benutzer extern. Beispiele sind Google oder Azure AD. Keycloak kann diese integrieren.

Identity Brokering delegiert Authentifizierung. Keycloak agiert als Vermittler. Externe Logins werden eingebunden.

Der Authorization Code Flow ist der sicherste OAuth2-Flow. Er wird für Webanwendungen genutzt. Tokens werden serverseitig abgerufen.

OIDC ist eine Erweiterung von OAuth2. Es fügt Identitätsschichten hinzu. ID Tokens enthalten Benutzerinformationen.

Access Tokens autorisieren Zugriffe. Sie werden bei API-Aufrufen genutzt. Sie haben eine begrenzte Lebensdauer.

Refresh Tokens erneuern Access Tokens. Sie erhöhen Benutzerfreundlichkeit. Sicherheit muss sorgfältig konfiguriert werden.

ID Tokens enthalten Benutzerinformationen. Sie werden beim Login ausgegeben. Sie sind Teil von OIDC.

Token Mapping fügt zusätzliche Claims hinzu. Rollen oder Attribute werden eingebettet. APIs können diese auswerten.

Client Scopes definieren gemeinsame Token-Claims. Sie können mehreren Clients zugewiesen werden. Das reduziert Konfigurationsaufwand.

Protocol Mapper steuern Token-Inhalte. Sie mappen Benutzerattribute. Sie sind flexibel konfigurierbar.

Zugriffe werden über Rollen geprüft. Rollen sind im Token enthalten. Anwendungen validieren diese Rollen.

Über Spring Security OAuth2 Resource Server. Keycloak stellt Tokens aus. Spring prüft diese automatisch.

Adapter erleichtern Integration. Sie kapseln Protokoll-Details. Heute wird meist Spring Security genutzt.

Logout invalidiert Sessions. Single Logout ist möglich. Alle verbundenen Clients werden abgemeldet.

Keycloak verwaltet Benutzer-Sessions zentral. Zeitlimits sind konfigurierbar. Sicherheit wird erhöht.

Keycloak erkennt wiederholte Fehlversuche. Benutzer werden temporär gesperrt. Das schützt vor Angriffen.

TLS ist Pflicht. Admin-Zugänge müssen geschützt werden. Rollen sollten minimal vergeben werden.

SPI steht für Service Provider Interface. Es erlaubt Erweiterungen. Eigene Authentifizierungslogik ist möglich.

Flows definieren Login-Schritte. Sie sind konfigurierbar. MFA kann integriert werden.

MFA verlangt mehrere Faktoren. Beispiele sind Passwort und OTP. Sicherheit wird deutlich erhöht.

OTP ist ein Einmalpasswort. Apps wie Google Authenticator werden genutzt. Es erhöht Schutz.

Keycloak kann horizontal skaliert werden. Eine gemeinsame Datenbank ist nötig. Load Balancer verteilen Traffic.

Keycloak nutzt relationale Datenbanken. Beispiele sind PostgreSQL oder MySQL. H2 ist nur für Tests.

Realm-Rollen gelten global. Client-Rollen sind an einen Client gebunden. Client-Rollen sind feiner granuliert.

Die Admin Console ist die UI von Keycloak. Sie dient zur Konfiguration. Admin-Rechte sind erforderlich.

Falsche Redirect-URIs. Token falsch ausgewertet. Fehlende Rollen-Zuweisung.

Bei Microservices mit zentraler Authentifizierung. Wenn Standards wichtig sind. Für Enterprise-Systeme.

Für sehr kleine Projekte. Wenn einfache Authentifizierung reicht. Der Setup-Aufwand ist höher.