Управление Клиентами#

ID клиента

Задает идентификатор, указываемый в URI и в токенах. Например 'my-client'. Для SAML это также ожидаемое имя издателя для запросов аутентификации

Текстовое значение

Описание

Задает описание клиента. Например 'Мой клиент для табеля учета времени'. Поддерживает ключи для локализованных значений. Например: ${my_client_description}

Текстовое значение

Необходимо согласие

Если включено, пользователи должны дать согласие на доступ клиентскому приложению

Булевая

Тема страницы входа

Применяется, если для данного клиента включена опция "Отображать клиента на экране согласия". Содержит текст, который будет отображаться на экране согласия о разрешениях, относящихся только к этому клиенту

Текстовое значение

Протокол клиента

'OpenID connect' разрешает клиентам проверить личность конечного пользователя, основанного на выполнении аутентификации на Сервере Авторизации.'SAML' включает веб-сценарии аутентификации и авторизации, включая кроссдоменные центры единого управления доступом (SSO) и использующие токены безопасности, содержащие заявления на передачу информации

Выпадающий список

Standard Flow включен

Включает стандартное OpenID Connect перенаправление, основанное на аутентификации с кодом авторизации. В терминах OpenID Connect или OAuth2 спецификаций включает 'Authorization Code Flow' для этого клиента

Булевая

Direct Access Grants включен

Включает поддержку Direct Access Grants, которая означает, что клиент имеет доступ к имени пользователя и пароля и обменивает их напрямую с сервером Keycloak на токен доступа. В терминах OAuth2 спецификации означает поддержку 'Resource Owner Password Credentials Grant' для этого клиента.

Булевая

Валидация URI перенаправления

Валидирует паттерн URI, на который может быть перенаправлен браузер после успешного входа или выхода. Разрешены простые ссылки, напр. 'http://example.com/'. Также допускается использовать относительный путь, напр. '/my/relative/path/'. Относительные пути необходимо указывать относительно корневого URL клиента, или, если он не специфицирован, корневого URL сервера авторизации. Для SAML необходимо задать валидный паттерн URI, если полагаться на URL сервиса потребителя, внедренного в запрос авторизации.

Текстовое значение

URL администрирования приложения

URL для доступа к интерфейсу администратора в заданном клиенте. Необходимо установить, если клиент поддерживает адаптер REST API. Это REST API разрешает серверу авторизации слать политики отзыва и прочие административные задачи. Обычно устанавливается значение, соответствующее базовому URL клиента.

Текстовое значение

Алгоритм подписи access-токена

JWA-алгоритм, используемый для подписи access-токена

Выпадающий список

Алгоритм подписи ответа информации о пользователе

JWA алгоритм используется для подписи ответа ресурса информации о пользователе. Если установлено в 'unsigned', то ответ информации о пользователе не будет подписан и будет возвращен в формате application/json.

Выпадающий список

Предоставлять объект запроса

Указывает, нужно ли клиенту предоставить объект запроса с запросом на авторизацию, и какой метод он может использовать для этого. Если установлено значение «не требуется», предоставление объекта запроса необязательно. Во всех остальных случаях предоставление объекта запроса обязательно. Если установлено значение «запрос», объект запроса должен быть предоставлен по значению. Если установлено значение «request_uri», объект запроса должен быть предоставлен по ссылке. Если установлено значение «request или request_uri», можно использовать любой метод.

Выпадающий список

Исключить параметр session_state из ответа аутентификации

Если включено, параметр 'session_state' не будет включен в OpenID Connect Authentication ответ.

Булевая

Продолжительность жизни токена доступа

Максимальное время действия токена доступа. Значение рекомендуется устанавливать как можно ближе к тайм-ауту SSO.

Цифровое значение + выпадающий список

Ключ подтверждения для CodeChallengeMethod обмена кодами

Выберите, какой метод проверки кода для PKCE используется. Если не указано иное, keycloak не применяет PKCE к клиенту, если клиент не отправляет запрос авторизации с соответствующим запросом кода и методом обмена кода.

Выпадающий список

Сценарий браузера

Выберите сценарий, который необходимо использовать для аутентификации через браузер.

Выпадающий список

Ключ подтверждения для CodeChallengeMethod обмена кодами

Выберите, какой метод проверки кода для PKCE используется. Если не указано иное, keycloak не применяет PKCE к клиенту, если клиент не отправляет запрос авторизации с соответствующим запросом кода и методом обмена кода.

Выпадающий список

add-users

Позволяет создавать пользователей

allow-map-roles

Позволяет пользователям присваивать роли

clear-cache

Позволяет очищать кэш

delete-account

Позволяет удалять УЗ

impersonation

Позволяет имперсонировать

manage-account-links

Позволяет управлять ссылками УЗ

manage-clients

Позволяет управлять клиентами

manage-data-sync

Позволяет управлять синхронизацией с ОСА

manage-identity-providers

Позволяет управлять поставщиками идентификации

manage-realm-attributes

Позволяет управлять атрибутами realm

query-clients

Позволяет настраивать параметры клиентов

query-realms

Позволяет настраивать параметры realms

read-token

Дает доступ к чтению токенов

view-authorization

Позволяет просматривать параметры авторизации

view-consent

Позволяет просматривать согласия

view-groups

Позволяет просматривать группы

view-profile

Позволяет просматривать профили

view-realm-attributes

Позволяет просматривать атрибуты realm

Добавить

По нажатию открывает окно добавления роли клиента

Кнопка

Составная

Признак составной роли

Текстовое значение

Действия

Редактировать

Кнопка/По нажатию открывает окно редактирования роли клиента

Наименование роли

Поле для ввода наименования роли клиента

Текстовое значение

Наименование роли

Отображение наименования роли

Текстовое значение

Составные роли

Когда эта роль (не)ассоциирована с любой ролью пользователей, она (не)будет неявно ассоциирована.

Кнопка

Доступные роли

Роли уровня Realm, ассоциированные с этой составной ролью.

Поле с выбором значения

Добавить выбранное

Кнопка для добавления выбранных ролей в ассоциированные роли

Кнопка

Пользователи с ролью

Перечисление пользователей с данной ролью

Текстовое поле

Ключ

Поле для ввода ключа, определяющего атрибут настройки

Текстовое поле

Действие. Добавить

Кнопка добавления связки ключ-значения

Кнопка

Области клиента по умолчанию

Области клиента по умолчанию всегда применяются при выдаче токенов для этого клиента. Сопоставители протоколов и сопоставления областей ролей применяются всегда, независимо от значения используемого параметра области в запросе авторизации OIDC.

Поле с выбором значения

Назначенные клиентские области по умолчанию

Области действия клиента, которые будут использоваться в качестве областей действия по умолчанию при создании токенов для этого клиента.

Поле с выбором значения

Удалить выбранное

Кнопка для удаления выбранных назначенных клиентских областей по умолчанию

Кнопка

Доступные клиентские области

Области действия клиента, которые еще не назначены как области по умолчанию или дополнительные области

Поле с выбором значения

Добавить выбранное

Кнопка для добавления выбранных клиентских областей

Кнопка

Параметр области действия

Если скопировать / вставить это значение параметра scope, то можно использовать его в начальном запросе аутентификации OpenID Connect, отправленном с этого клиентского адаптера. Области клиентов по умолчанию и выбранные дополнительные области клиентов будут использоваться при генерации токена, выпущенного для этого клиента.

Текстовое поле

Доступные дополнительные клиентские области

Содержит необязательные клиентские области, которые можно дополнительно использовать при выдаче токена доступа для этого клиента

Поле с выбором значения

Эффективные клиентские области

Содержит все клиентские области по умолчанию и выбранные дополнительные области. Все сопоставители протоколов и сопоставления областей ролей всех этих клиентских областей будут использоваться при создании токена доступа, выданного для вашего клиента.

Поле с выбором значения

Сопоставить

Применение настроек.

Кнопка

Поисковое поле

Поле для поиска сопоставлений

Поисковое поле

Добавить встроенные

Кнопка для добавления встроенных сопоставлений

Кнопка

Протокол

Наименование протокола

Текстовое значение

Тип сопоставления

Выпадающий список

Claims parameter Token

Утверждения, указанные параметром Claims, помещаются в токены.

Добавить в информацию о пользователе

Должно ли требование быть добавлено в информацию о пользователе?

Булевая

User Realm Role

Сопоставление роли рилма пользователя с утверждением токена.

Несколько значений

Отображается, если атрибут поддерживает несколько значений. Если включен, то список всех значений будет претендовать на этот атрибут. В противном случае выбираться будет только первое значение

Булевая

Тип переменной JSON

Тип переменной в JSON, который должен использоваться при добавлении ее в токен. Допустимые значения long, int, boolean, и String.

Выпадающий список

Добавить в токен доступа

Должно ли значение быть добавлено в токен доступа?

Булевая

User Session Note

Сопоставление сессии пользователя с записью в claim token.

Имя переменной в токене

Имя переменной при добавлении ее в токен. Может быть полное имя, например 'address.street'. В таком случае будет создан вложенный json объект.

Текстовое поле

Добавить в токен ID

Должно ли значение быть добавлено в токен ID?

Булевая

includeInAccessTokenResponse

includeInAccessTokenResponse.tooltip

Булевая

Users Address

Сопоставляет атрибуты адреса пользователя (улица, населенный пункт, регион, почтовый индекс и страна) с утверждением OpenID Connect "адрес"

Добавить в токен доступа

Должно ли значение быть добавлено в токен доступа?

Булевая

Имя пользовательского атрибута, обозначающего Улицу

Имя пользовательского атрибута, которое будет использоваться для сопоставления атрибута 'street_address' внутри атрибута 'address' токена. По умолчанию 'street'

Текстовое значение

Имя пользовательского атрибута, обозначающего Регион

Имя пользовательского атрибута, которое будет использоваться для сопоставления атрибута 'region' внутри атрибута 'address' токена. По умолчанию 'region'

Текстовое значение

Имя пользовательского атрибута, обозначающего Страну

Имя пользовательского атрибута, которое будет использоваться для сопоставления атрибута 'country' внутри атрибута 'address' токена. По умолчанию 'country'

Текстовое значение

Role Name Mapper

Сопоставляет назначенную роль с новым именем или позицией в токене

Новое имя роли

Новое имя роли. Новый формат имени соответствует тому, к какому токену доступа будет привязана роль. Таким образом, новое имя 'myapp.new name' сопоставит роль с этой позицией в маркере доступа. Новое имя "новое имя" сопоставит роль с ролями области в токене

Текстовое значение

User Client Role

Map a user client role to a token claim.

Префикс ролей клиента

Префикс для каждой роли клиента (опционально).

Текстовое значение

Имя переменной в токене

Название утверждения для вставки в токен. Это может быть полное имя, например 'address.street'. В этом случае будет создан вложенный объект json. Чтобы предотвратить вложенность и использовать точку буквально, экранируйте точку обратной косой чертой (\.). Можно использовать специальный токен ${client_id}, который будет заменен фактическим идентификатором клиента. Примером использования является 'resource_access.${client_id}.roles'. Это особенно полезно, если добавлять роли от всех клиентов (следовательно, переключатель 'ClientID' не установлен), и необходимо, чтобы роли клиентов каждого клиента хранились отдельно.

Текстовое значение

Добавить в токен ID

Должно ли значение быть добавлено в токен ID?

Булевая

Добавить в информацию о пользователе

Должно ли требование быть добавлено в информацию о пользователе?

Булевая

User Property

Сопоставьте встроенное свойство пользователя (адрес электронной почты, имя, фамилия) с утверждением токена.

Имя переменной в токене

Имя переменной при добавлении ее в токен. Может быть полное имя, например 'address.street'. В таком случае будет создан вложенный json объект.

Текстовое значение

Добавить в токен ID

Должно ли значение быть добавлено в токен ID?

Булевая

Добавить в информацию о пользователе

Должно ли требование быть добавлено в информацию о пользователе?

Булевая

Hardcoded Role

Жестко закодируйте роль в access token

Выберите роль

-

Кнопка

Hardcoded claim

Жестко закодируйте утверждение в токене.

Claim value

Значение утверждения, которое необходимо жестко закодировать. 'true' и 'false могут использоваться для логических значений.

Текстовое значение

Добавить в токен ID

Должно ли значение быть добавлено в токен ID?

Булевая

Добавить в информацию о пользователе

Должно ли требование быть добавлено в информацию о пользователе?

Булевая

Pairwise subject identifier

Вычисляет попарный идентификатор субъекта, используя salted хэш sha-256. Дополнительные сведения о попарных идентификаторах субъектов см. в спецификации OpenID Connect.

Соль

Соль, используемая для вычисления парного субъекта идентификатора. Если поле не заполнено, то соль будет сгенерирована.

Текстовое значение

User's full name

Сопоставляет имя и фамилию пользователя с утверждением OpenID Connect 'name'. Формат <первый> + ' ' + <последний>

Добавить в токен доступа

Должно ли значение быть добавлено в токен доступа?

Булевая

Allowed Web Origins

Добавляет все разрешенные веб-источники к утверждению "разрешенные источники" в токене

Audience

Добавьте указанную аудиторию в поле аудитория (aud) токена

Включить аудиенцию пользователей

Используется только в том случае, если 'Included Client Audience' не заполнено. Указанное значение будет включено в поле audience (aud) токена. Если в токене есть существующие аудиенции, указанное значение будет просто добавлено к ним. Оно не отменяет существующие аудиенции.

Текстовое значение

Добавить в токен доступа

Должно ли значение быть добавлено в токен доступа?

Булевая

User Attribute

Сопоставьте пользовательский атрибут пользователя с утверждением токена.

Имя переменной в токене

Имя переменной при добавлении ее в токен. Может быть полное имя, например 'address.street'. В таком случае будет создан вложенный json объект.

Текстовое значение

Добавить в токен ID

Должно ли значение быть добавлено в токен ID?

Булевая

Добавить в информацию о пользователе

Должно ли требование быть добавлено в информацию о пользователе?

Булевая

Агрегированные значения атрибутов

Указывает, следует ли агрегировать значения атрибутов с атрибутами группы. При использовании протокола OpenID Connect необходимо включить многозначную опцию, чтобы получить все значения. Дублированные значения отбрасываются, и с помощью этой опции порядок значений не гарантируется.

Булевая

Group Membership

Сопоставление пользователя с членством в группах

Full group path

Включает полный путь к группе т.е. /top/level 1/level 2, если выключено (false) просто укажет имя группы

Булевая

Добавить в токен доступа

Должно ли значение быть добавлено в токен доступа?

Булевая

Audience Resolve

Добавляет все идентификаторы клиентов "разрешенных" клиентов в поле аудитории токена. Разрешенный клиент означает клиент, для которого пользователь имеет хотя бы одну роль клиента

Имя

Имя встроенного сопоставления

Текстовое значение

Тип

Тип встроенного сопоставления

Текстовое значение

Добавить выбранное

Добавление выбранных сопоставлений

Кнопка

Extended User Property

Передается отчество пользователя, если задано в профиле.

Имя переменной в токене

Имя переменной при добавлении ее в токен.

Текстовое значение

Добавить в токен ID

Должно ли значение быть добавлено в токен ID?

Булевая

Добавить в информацию о пользователе

Должно ли требование быть добавлено в информацию о пользователе?

Булевая

Полный доступ к областям

Отключает все ограничения

Булевая

Не ранее чем

Отозвать любые токены, выданные до указанной даты для этого клиента.

Текстовое поле, недоступное к ручному заполнению

Установить на сейчас

Устанавливает в поле "Не ранее чем" значение текущей даты и времени

Кнопка

Активные сессии

Общее количество активных сессий пользователей для этого клиента.

Поле, недоступное к ручному заполнению

Офлайн токены

Общее количество оффлайн токенов для этого клиента.

Поле, недоступное к ручному заполнению

Формат

Выбор формата конфигурации адаптера клиента.

Выпадающий список

Поле

Конфигурации адаптера клиента

Текстовое поле