Пример настройки для Keycloak

Для настройки работы с Keycloak необходимо выполнить следующие шаги:

Запустите Keycloak на сервере с помощью следующей команды:
sudo docker run --name keycloak -e KEYCLOAK_USER=admin -e KEYCLOAK_PASSWORD=password -p 8080:8080 jboss/keycloak
где
KEYCLOAK_USER – логин, который используется для входа в консоль администратора в Keycloak.
KEYCLOAK_PASSWORD – пароль для входа в консоль администратора в Keycloak.
8080 – стандартный порт Keycloak для работы по HTTP. При работе с HTTPS используется порт 8443.
Откройте в браузере консоль администратора Keycloak по адресу: {домен_Keycloak}/auth/admin
На платформе Visiology в панели администрирования перейдите на вкладку Основные > Авторизация > OpenID Connect > Основные настройки:
На вкладке Основные настройки заполните следующие поля (звездочкой помечены обязательные поля):

Поле	Описание
UserName claim*	Можно указать любое наименование из токена, например, `preferred_username`.
Repsonse type*	Проверка аутентификации, Доступные значения: `id_token` (проверка аутентификации через Implicit Flow) или `code` (проверка аутентификации через Authorization Code Flow).
Authentication scheme*	Схема аутентификации.
Authority*	`http(https)://{домен Keycloak}/auth/realms/{наименование_Realm}`
Client id*	Наименование клиента из Keycloak.
Client secret	Скопируйте секрет в настройках клиента в Keycloak на вкладке Credentials и вставьте в это поле.
Callback path*	Необязательный ограниченный путь для обработки обратного вызова аутентификации.
Scope*	Список запрашиваемых разрешений.
Resourse	Идентификатор ресурса, к которому будет запрошен доступ.
Claim sourse	Выберите `userinfo endpoint` при подключении через Keylcoak, или `id_token` при подключении через ADFS.

Примеры настройки с использованием различных Response type

Проверка аутентификации через Implicit Flow (id_token)

Настройки в Keycloak

Настройки на платформе Visiology

Проверка аутентификации через Authorization Сode (code)

При необходимости маппировать атрибуты или роли, необходимо ввести значение id_token token в поле Response type и настроить мапперы в клиенте Keycloak для ролей и атрибутов.

Настройка мапперов для ролей:

Настройка мапперов для атрибутов:

Если вы настроили что-то неверно, то можно выключить, а затем включить внешнюю авторизацию с помощью скрипта.
Для этого на сервере нужно выполнить следующие команды:

ID=$(sudo docker ps | grep visiology_admin | awk '{print $1}')
sudo docker exec -it $ID sh
node administrator-tools/change-auth-type/index.js

По умолчанию скрипт работает на выключение.

Смотрите также