Управление Realm#

Когда впервые загружается KeyCloak.SE, то создается предварительно определенная область. Это начальная область является master-realm. Realm - это область управления объектами, включая пользователей, приложения, роли и группы. В консоли администратора существуют два типа областей:

Master-realm - это самый высокий уровень в иерархии областей. Учетные записи администраторов в этом realm имеют права на просмотр и управление любым другим realm, созданным на данном экземпляре сервера. При определении начальной учетной записи администратора, создается учетная запись в master-realm. Первоначальный вход в консоль администратора также будет осуществляться через master-realm. Прочие realms - создаются администратором в master realm. В этих областях администраторы управляют пользователями в организации и приложениями, которые им нужны. Приложения принадлежат пользователям. Realms изолированы друг от друга и могут управлять и аутентифицировать только тех пользователей, которых они контролируют. Следование этой модели безопасности помогает предотвратить случайные изменения и следует традиции предоставления учетным записям пользователей доступа только к тем привилегиям и полномочиям, которые необходимы для успешного выполнения их текущей задачи.

Не рекомендуется использовать master-realm для управления пользователями и приложениями в организации. Оставьте использование master-realm для системных администраторов для создания и управления realm в системе. Такая модель безопасности помогает предотвратить случайные изменения и следует традиции предоставления учетным записям пользователей доступа только к тем привилегиям и полномочиям, которые необходимы для успешного выполнения их текущей задачи.

Можно отключить master-realm и определить учетные записи администраторов в каждом отдельном новом realm, который создается. Каждый realm имеет свою собственную консоль администратора, в которую можно войти с помощью локальных учетных записей.

Управление Realm осуществляется через вкладку "Настройки Realm".

Создать новый realm очень просто. Необходимо навести курсор мыши на выпадающее меню в левом верхнем углу, которое озаглавлено Master. При аутентификации в master-realm, в этом выпадающем меню перечислены все созданные realm. Последним пунктом этого выпадающего меню всегда является Добавить новый realm. Нажмите на него, чтобы добавить realm. Этот пункт меню приведет на страницу Добавления realm. Укажите имя realm и нажмите кнопку Создать. В качестве альтернативы есть возможность импортировать документ JSON, определяющий новый realm. После создания realm происходит перенаправление на главную страницу консоли администратора. Текущий realm теперь будет установлен на realm, который был только что создан. Для переключения между управлением различными realm, наведите курсор мыши на выпадающее меню в левом верхнем углу.

Главная#

Основные настройки Realm

На рисунке ниже изображена форма настройки параметров realm.

В таблице представлено детальное описание интерфейса настройки параметров realm.

Вход#

Настройки аутентификации пользователей.

Каждый realm имеет режим SSL, связанный с ним. Режим SSL определяет требования SSL/HTTPs для взаимодействия с областью. Браузеры и приложения, взаимодействующие с областью, должны соблюдать требования SSL/HTTPs, определенные режимом SSL, иначе им не будет разрешено взаимодействовать с сервером.

На рисунке ниже изображена форма настройки параметров входа.

В таблице представлено детальное описание интерфейса настройки параметров входа в realm.

При включении функции "Сброс пароля", пользователям будет доступно восстановление своих учетных данных для входа в систему (если пользователь забудет пароль или потеряет генератор OTP).

Процесс сброса пароля:

• Переключить "Сброс пароля" в настройках параметров входа realm в положение Включено.

• Ссылка на сброс пароля отображена на странице входа в систему.

На рисунке ниже изображена форма ввода логина.

• Нажмите на эту ссылку, чтобы ввести имя пользователя или адрес электронной почты и получить электронное письмо со ссылкой для сброса своих учетных данных

На рисунке ниже изображена форма "Забыли пароль?".

На рисунке ниже изображено окно аутентификации с информационным сообщением.

• Когда пользователи нажимают на ссылку электронной почты, Keycloak просит их обновить свой пароль, и если настроен генератор OTP, Keycloak просит их перенастроить генератор OTP. В зависимости от требований безопасности организации, возможность, чтобы пользователи сбрасывали свой генератор OTP по электронной почте, может быть ограничена.

Чтобы изменить это, требуется выполнить следующие действия:

• Выбрать пункт меню Аутентификация.

• Перейти на вкладку Сценарии.

• Выбрать сценарий сброса учетных данных.

На рисунке ниже изображено окно просмотра сценария аутентификации Reset_credentials.

• Для отключения сброса OTP, необходимо установить для требования Reset OTP значение Disabled

• Перейти на вкладку Требуемые действия. Убедиться, что обновление пароля включено.

Ключи#

Протоколы аутентификации требуют криптографических подписей и иногда шифрования. Для этого используются асимметричные пары ключей - Публичные и Приватные ключи.

Keycloak одновременно имеет одну активную пару ключей, но может иметь и несколько пассивных ключей. Активная пара ключей используется для создания новых подписей, а пассивные пары ключей могут использоваться для проверки предыдущих подписей. Это позволяет регулярно менять ключи без простоев и перерывов для пользователей.

При создании realm, автоматически генерируется пара ключей и самозаверяющий сертификат.

Обмен ключей

Рекомендуется регулярно менять ключи. Для этого рекомендуется начать с создания новых ключей с более высоким приоритетом, чем существующие активные ключи. Или создать новые ключи с тем же приоритетом, сделав предыдущие ключи пассивными.

После получения новых ключей все новые токены и файлы cookie будут подписываться новыми ключами. Когда пользователь аутентифицируется в приложении, cookie SSO обновляются новой подписью. При обновлении токенов OpenID Connect новые токены подписываются новыми ключами. Это означает, что со временем все cookie и токены будут использовать новые ключи, а через некоторое время старые ключи можно будет удалить.

Частота удаления старых ключей - это компромисс между безопасностью и уверенностью в том, что все файлы cookie и токены обновлены. Желательно создавать новые ключи каждые три-шесть месяцев и удалять старые ключи через один-два месяца после создания новых. Если пользователь был неактивен в период между добавлением новых и удалением старых ключей, ему придется пройти повторную аутентификацию.

Ротация ключей также применяется к автономным токенам. Чтобы убедиться, что они обновлены, приложения должны обновить токены перед удалением старых ключей.

Активные#

Активные

Ниже изображено окно просмотра активных ключей шифрования.

В таблице представлено детальное описание интерфейса просмотра активных ключей шифрования.

Пассивные#

Пассивные

Ниже изображено окно просмотра пассивных ключей шифрования.

В таблице представлено детальное описание интерфейса просмотра пассивных ключей шифрования.

Отключенные#

Деактивированные. Ниже изображено окно просмотра отключенных ключей шифрования.

В таблице представлено детальное описание интерфейса просмотра отключенных ключей шифрования.

Поставщики#

Провайдеры ключей шифрования.

Окно просмотра провайдеров#

Ниже изображено окно просмотра провайдеров ключей шифрования.

В таблице представлено детальное описание интерфейса просмотра провайдеров ключей шифрования.

aes-generated#

Ниже изображено окно добавления поставщика хранилища ключей aes-generated

В таблице представлено детальное описание интерфейса настройки поставщика хранилища ключей aes-generated.

cryptopro-keystore#

Ниже изображено окно добавления поставщика хранилища ключей cryptopro-keystore

В таблице представлено детальное описание интерфейса настройки поставщика хранилища ключей cryptopro-keystore.

ecdsa-generated#

Ниже изображено окно добавления поставщика хранилища ключей ecdsa-generated

В таблице представлено детальное описание интерфейса настройки поставщика хранилища ключей ecdsa-generated.

encoded-rsa-generated#

Ниже изображено окно добавления поставщика хранилища ключей encoded-rsa-generated

В таблице представлено детальное описание интерфейса настройки поставщика хранилища ключей encoded-rsa-generated.

gost-keystore#

Ниже изображено окно добавления поставщика хранилища ключей gost-keystore

В таблице представлено детальное описание интерфейса настройки поставщика хранилища ключей gost-keystore.

hmac-generated#

Ниже изображено окно добавления поставщика хранилища ключей hmac-generated

В таблице представлено детальное описание интерфейса настройки поставщика хранилища ключей hmac-generated.

java-keystore#

Ниже изображено окно добавления поставщика хранилища ключей java-keystore

В таблице представлено детальное описание интерфейса настройки поставщика хранилища ключей java-keystore.

online-keystore#

Ниже изображено окно добавления поставщика хранилища ключей online-keystore

В таблице представлено детальное описание интерфейса настройки поставщика хранилища ключей online-keystore.

rsa#

Ниже изображено окно добавления поставщика хранилища ключей rsa

В таблице представлено детальное описание интерфейса настройки поставщика хранилища ключей rsa.

rsa-generated#

Ниже изображено окно добавления поставщика хранилища ключей rsa-generated

В таблице представлено детальное описание интерфейса настройки поставщика хранилища ключей rsa-generated.

Email#

Настройки отправки email - писем от имени KeyCloak.SE.

Keycloak отправляет электронные письма пользователям для проверки их адреса электронной почты, когда пользователи забывают свои пароли или когда администратору необходимо получать уведомления о событии на сервере. Чтобы разрешить Keycloak отправлять электронные письма, необходимо предоставить Keycloak настройки SMTP-сервера. Это настраивается для каждого realm. Для настройки необходимо перейти в пункт меню "Настройки realm" слева и далее на вкладку "Email".

Ниже изображено окно настройки SMTP соединения.

В таблице представлено детальное описание интерфейса настройки SMTP соединения.

Поскольку электронные письма используются для восстановления имен пользователей и паролей, рекомендуется использовать SSL или TLS, особенно если SMTP-сервер находится во внешней сети. Чтобы включить SSL, требуется нажать Включить SSL или включить TLS (рекомендуется нажать Включить TLS). Скорее всего, также потребуется изменить порт (порт по умолчанию для SSL/TLS - 465).

Если SMTP-сервер требует аутентификации, то нажать Включить аутентификацию и ввести имя пользователя и пароль. Значение поля Пароля может ссылаться на значение из внешнего хранилища.

Темы#

Стиль форм KeyCloak.SE

Темы позволяют изменить внешний вид и ощущение любого пользовательского интерфейса в KeyCloak.SE. Темы настраиваются для каждого realm.

Ниже изображено окно настройки стиля форм KeyCloak.SE.

В таблице представлено детальное описание интерфейса настройки стиля форм KeyCloak.SE.

Каждый экран пользовательского интерфейса интернационализирован в Keycloak. Язык по умолчанию - английский, но если включить переключатель интернационализации на вкладке Тема, это позволит выбрать, какие языки требуется поддерживать и какой будет язык по умолчанию. В следующий раз, когда пользователь войдет в систему, он сможет выбрать язык на странице входа, который будет использоваться для экранов входа, пользовательского интерфейса управления учетными записями пользователей и Консоли администратора.

Кэш#

KeyCloak.SE кэширует в памяти все, что может, в пределах возможностей JVM и/или ограничений, на которые настроено. Если база данных KeyCloak.SE изменяется третьей стороной (например, DBA) вне рамок REST API или консоли администратора сервера, есть вероятность, что часть кэша в памяти может оказаться неактуальной.

Ниже изображено окно очистки кэша.

В таблице представлено детальное описание интерфейса очистки кэша.

Токены#

Настройки формирования токена.

Keycloak включает управление тайм-аутами сессии, cookie и токенов через вкладку Токены в меню Настройки Realm.

Ниже изображен интерфейс настройки формирования токена.

В таблице представлено детальное описание интерфейса настройки формирования токена.

Для тайм-аутов простоя существует двухминутный промежуток времени, в течение которого сеанс активен. Например, если установлено время ожидания 30 минут, то до истечения сеанса пройдет 32 минуты.

Это действие необходимо для некоторых сценариев в средах кластеров и центров обработки данных, где токен обновляется на одном узле кластера незадолго до истечения срока действия, а другие узлы кластера ошибочно считают сеанс истекшим, поскольку они еще не получили сообщение об успешном обновлении от обновляющего узла.

Регистрация клиента#

Токены первичного доступа#

Позволяет создавать инициализирующие общие токены доступа для клиентов (с определенным сроком жизни). Ниже изображено окно представления токенов первичного доступа.

В таблице представлено детальное описание интерфейса представления токенов первичного доступа.

Создать токен первичного доступа#

Ниже изображено окно добавления токена первичного доступа.

В таблице представлено детальное описание интерфейса добавления токена первичного доступа.

Политики регистрации клиента#

Политики анонимного доступа.

Эти политики будут использоваться, когда сервис регистрации клиента вызывается неаутентифицированным запросом. Это означает, что запрос не содержит ни токена первичного доступа ни Bearer токена.

Политики аутентифицированного доступа.

Эти политики будут использоваться, когда сервис регистрации клиента вызывается аутентифицированным запросом. Это означает, что запрос содержит токен первичного доступа или Bearer токен.

Ниже изображено окно представления политик регистрации клиента.

В таблице представлено детальное описание интерфейса политик регистрации клиента.

Добавить поставщика

allowed-client-templates#

Когда включен, то позволяет указать разрешенный список клиентских областей, которые будут доступны в представлении зарегистрированного (или обновленного) клиента.

Ниже изображено окно настройки политики регистрации клиента allowed-client-templates.

В таблице представлено детальное описание интерфейса настройки политики регистрации клиента allowed-client-templates.

client-disabled#

Если политика присутствует, то вновь зарегистрированный клиент будет отключен, и администратору необходимо вручную его включить.

Ниже изображено окно настройки политики регистрации клиента client-disabled.

В таблице представлено детальное описание интерфейса настройки политики регистрации клиента client-disabled.

scope#

Если присутствует, то у вновь зарегистрированного клиента не будет разрешена полная область действия. Ниже изображено окно настройки политики регистрации клиента scope.

В таблице представлено детальное описание интерфейса настройки политики регистрации клиента scope.

max-clients#

Не позволяет регистрировать клиентов больше установленного предельного значения.

Ниже изображено окно настройки политики регистрации клиента max-clients.

В таблице представлено детальное описание интерфейса настройки политики регистрации клиента max-clients.

allowed-protocol-mappers#

Позволяет указать разрешенные шаблоны протоколов сопоставления, которые будут доступны в представлении зарегистрированного (или обновленного) клиента.

Ниже изображено окно настройки политики регистрации клиента allowed-protocol-mappers.

В таблице представлено детальное описание интерфейса настройки политики регистрации клиента allowed-protocol-mappers.

trusted-hosts#

Позволяет указать, с каких хостов пользователь может зарегистрироваться, и какие URI перенаправления может использовать клиент в своей конфигурации.

Ниже изображено окно настройки политики регистрации клиента trusted-hosts.

В таблице представлено детальное описание интерфейса настройки политики регистрации клиента trusted-hosts.

consent-required#

При наличии у вновь зарегистрированного клиента всегда будет включен переключатель "Требуется согласие".

Ниже изображено окно настройки политики регистрации клиента consent-required

В таблице представлено детальное описание интерфейса настройки политики регистрации клиента consent-required.

Политики клиента#

Ниже изображено окно настройки Политик клиента.

Профили#

Профиль клиента позволяет установить набор исполнителей, которые применяются для различных действий, выполняемых с клиентом. Действия могут быть действиями администратора, например, создание или обновление клиента, или действиями пользователя, например, аутентификация клиента.

Form View#

В таблице представлено детальное описание интерфейса профиля политик клиента Form View.

Редактор JSON#

{
  "profiles": [],
  "globalProfiles": [
    {
      "name": "fapi-1-baseline",
      "description": "Client profile, which enforce clients to conform 'Financial-grade API Security Profile 1.0 - Part 1: Baseline' specification.",
      "executors": [
        {
          "executor": "secure-session",
          "configuration": {}
        },
        {
          "executor": "pkce-enforcer",
          "configuration": {
            "auto-configure": true
          }
        },
        {
          "executor": "secure-client-authenticator",
          "configuration": {
            "allowed-client-authenticators": [
              "client-jwt",
              "client-secret-jwt",
              "client-x509"
            ],
            "default-client-authenticator": "client-jwt"
          }
        },
        {
          "executor": "secure-client-uris",
          "configuration": {}
        },
        {
          "executor": "consent-required",
          "configuration": {
            "auto-configure": true
          }
        },
        {
          "executor": "full-scope-disabled",
          "configuration": {
            "auto-configure": true
          }
        }
      ]
    },
    {
      "name": "fapi-1-advanced",
      "description": "Client profile, which enforce clients to conform 'Financial-grade API Security Profile 1.0 - Part 2: Advanced' specification.",
      "executors": [
        {
          "executor": "secure-session",
          "configuration": {}
        },
        {
          "executor": "confidential-client",
          "configuration": {}
        },
        {
          "executor": "secure-client-authenticator",
          "configuration": {
            "allowed-client-authenticators": [
              "client-jwt",
              "client-x509"
            ],
            "default-client-authenticator": "client-jwt"
          }
        },
        {
          "executor": "secure-client-uris",
          "configuration": {}
        },
        {
          "executor": "secure-request-object",
          "configuration": {
            "available-period": "3600",
            "verify-nbf": true
          }
        },
        {
          "executor": "secure-response-type",
          "configuration": {
            "auto-configure": true,
            "allow-token-response-type": false
          }
        },
        {
          "executor": "secure-signature-algorithm",
          "configuration": {
            "default-algorithm": "PS256"
          }
        },
        {
          "executor": "secure-signature-algorithm-signed-jwt",
          "configuration": {
            "require-client-assertion": false
          }
        },
        {
          "executor": "consent-required",
          "configuration": {
            "auto-configure": true
          }
        },
        {
          "executor": "full-scope-disabled",
          "configuration": {
            "auto-configure": true
          }
        },
        {
          "executor": "holder-of-key-enforcer",
          "configuration": {
            "auto-configure": true
          }
        }
      ]
    },
    {
      "name": "fapi-ciba",
      "description": "Client profile, which enforce clients to conform 'Financial-grade API: Client Initiated Backchannel Authentication Profile' specification (Implementer's Draft ver1'). To satisfy FAPI-CIBA, both this profile and fapi-1-advanced global profile need to be used.",
      "executors": [
        {
          "executor": "secure-ciba-req-sig-algorithm",
          "configuration": {
            "default-algorithm": "PS256"
          }
        },
        {
          "executor": "secure-ciba-session",
          "configuration": {}
        },
        {
          "executor": "secure-ciba-signed-authn-req",
          "configuration": {
            "available-period": "3600"
          }
        }
      ]
    }
  ]
}

Политики#

Политика клиента позволяет привязывать профили клиентов к различным условиям, чтобы указать, когда именно принудительно выполняется поведение, указанное исполнителями конкретного профиля клиента.

Form View#

Ниже изображено окно настройки политики клиента Form View.

Редактор JSON#

{
  "policies": []
}

Защита безопасности#

Заголовки#

Ниже изображено окно настройки определения Заголовков.

В таблице представлено детальное описание интерфейса настройки определения Заголовков.

Определение Brute Force#

Ниже изображено окно настройки определения Brute Force.

В таблице представлено детальное описание интерфейса настройки определения Brute Force и даны рекомендуемые значения настроек.

Дополнительно#

События Аудит#

Ниже изображено окно настройки модуля отправки событий KeyCloak.SE в Platform V Audit.

В таблице представлено детальное описание интерфейса настройки модуля отправки событий KeyCloak.SE в Platform V Audit.

События Syslog#

Ниже изображено окно настройки для передачи событий в Syslog.

В таблице представлено детальное описание интерфейса настройки передачи событий в Syslog.

Настройки SOAP#

Ниже изображено окно Настройки SOAP-интерфейса.

В таблице представлено детальное описание интерфейса настройки SOAP-интерфейса.

Параметры сессии#

Ниже изображено окно настройки ограничения числа сессий.

В таблице представлено детальное описание интерфейса настройки ограничения числа сессий.

Srp6a#

Ниже изображено окно настройки SRP6a.

В таблице представлено детальное описание интерфейса настройки работы по протоколу SRP6a.