Was sind die OAuth2 / OpenID Connect-Endpunkte von Keycloak?

Wir versuchen, Keycloak als SSO-Lösung zu bewerten, und es sieht in vielerlei Hinsicht gut aus, aber die Dokumentation enthält schmerzlich keine Grundlagen.

Was sind für eine bestimmte Keycloak-Installation in http://localhost:8080/for Realm testder OAuth2-Autorisierungsendpunkt , der OAuth2-Token-Endpunkt und der OpenID Connect UserInfo-Endpunkt ?

Wir sind nicht an der Verwendung der eigenen Clientbibliothek von Keycloak interessiert. Wir möchten Standard-OAuth2 / OpenID Connect-Clientbibliotheken verwenden, da die Clientanwendungen, die den Keycloak-Server verwenden, in einer Vielzahl von Sprachen (PHP, Ruby, Node, Java, C #) geschrieben werden , Angular). Daher sind die Beispiele, die den Keycloak-Client verwenden, für uns nicht von Nutzen.

Für Keycloak 1.2 können die oben genannten Informationen über die URL abgerufen werden

http: // keycloakhost: keycloakport / auth / realms / {Realm} /. bekannte / openid-Konfiguration

Wenn der Realm-Name beispielsweise Demo lautet :

http: // keycloakhost: keycloakport / auth / realms / demo / .well-bekannte / openid-konfiguration

Eine Beispielausgabe der obigen URL:

{
    "issuer": "http://localhost:8080/auth/realms/demo",
    "authorization_endpoint": "http://localhost:8080/auth/realms/demo/protocol/openid-connect/auth",
    "token_endpoint": "http://localhost:8080/auth/realms/demo/protocol/openid-connect/token",
    "userinfo_endpoint": "http://localhost:8080/auth/realms/demo/protocol/openid-connect/userinfo",
    "end_session_endpoint": "http://localhost:8080/auth/realms/demo/protocol/openid-connect/logout",
    "jwks_uri": "http://localhost:8080/auth/realms/demo/protocol/openid-connect/certs",
    "grant_types_supported": [
        "authorization_code",
        "refresh_token",
        "password"
    ],
    "response_types_supported": [
        "code"
    ],
    "subject_types_supported": [
        "public"
    ],
    "id_token_signing_alg_values_supported": [
        "RS256"
    ],
    "response_modes_supported": [
        "query"
    ]
}

Informationen finden Sie unter https://issues.jboss.org/browse/KEYCLOAK-571

Hinweis: Möglicherweise müssen Sie Ihren Client zur Liste der gültigen Umleitungs-URIs hinzufügen

Mit Version 1.9.3.Finale verfügt Keycloak über eine Reihe von OpenID-Endpunkten. Diese finden Sie unter /auth/realms/{realm}/.well-known/openid-configuration. Angenommen, Ihr Realm heißt benannt demo, erzeugt dieser Endpunkt eine ähnliche JSON-Antwort.

{
  "issuer": "http://localhost:8080/auth/realms/demo",
  "authorization_endpoint": "http://localhost:8080/auth/realms/demo/protocol/openid-connect/auth",
  "token_endpoint": "http://localhost:8080/auth/realms/demo/protocol/openid-connect/token",
  "token_introspection_endpoint": "http://localhost:8080/auth/realms/demo/protocol/openid-connect/token/introspect",
  "userinfo_endpoint": "http://localhost:8080/auth/realms/demo/protocol/openid-connect/userinfo",
  "end_session_endpoint": "http://localhost:8080/auth/realms/demo/protocol/openid-connect/logout",
  "jwks_uri": "http://localhost:8080/auth/realms/demo/protocol/openid-connect/certs",
  "grant_types_supported": [
    "authorization_code",
    "implicit",
    "refresh_token",
    "password",
    "client_credentials"
  ],
  "response_types_supported": [
    "code",
    "none",
    "id_token",
    "token",
    "id_token token",
    "code id_token",
    "code token",
    "code id_token token"
  ],
  "subject_types_supported": [
    "public"
  ],
  "id_token_signing_alg_values_supported": [
    "RS256"
  ],
  "response_modes_supported": [
    "query",
    "fragment",
    "form_post"
  ],
  "registration_endpoint": "http://localhost:8080/auth/realms/demo/clients-registrations/openid-connect"
}

Soweit ich festgestellt habe, implementieren diese Endpunkte die Oauth 2.0- Spezifikation.

Nach langem Stöbern konnten wir die Informationen mehr oder weniger kratzen (hauptsächlich aus Keycloaks eigener JS-Client-Bibliothek):

• Autorisierungsendpunkt: /auth/realms/{realm}/tokens/login
• Token-Endpunkt: /auth/realms/{realm}/tokens/access/codes

Was OpenID Connect UserInfo betrifft , implementiert Keycloak diesen Endpunkt derzeit (1.1.0.Final) nicht, sodass es nicht vollständig OpenID Connect-kompatibel ist. Es gibt jedoch bereits einen Patch , der hinzufügt, dass zum jetzigen Zeitpunkt in 1.2.x enthalten sein sollte.

Aber - Ironischerweise sendet Keycloak id_tokenzusammen mit dem Zugriffstoken ein In zurück. Sowohl die id_tokenals auch die access_tokensind signierte JWTs , und die Schlüssel des Tokens sind die Schlüssel von OpenID Connect, dh:

"iss":  "{realm}"
"sub":  "5bf30443-0cf7-4d31-b204-efd11a432659"
"name": "Amir Abiri"
"email: "..."

Während Keycloak 1.1.x nicht vollständig OpenID Connect-kompatibel ist, "spricht" es in der OpenID Connect-Sprache.

Tatsächlich befindet sich der Link zu .well-knowauf der ersten Registerkarte Ihrer Realm-Einstellungen - aber der Link sieht nicht wie ein Link aus, sondern als Wert des Textfelds ... schlechtes UI-Design. Screenshot der Registerkarte "Allgemein" von Realm

In Version 1.9.0 befindet sich json mit allen Endpunkten unter der Adresse / auth / realms / {Realm}

• Autorisierungsendpunkt: / auth / realms / {Realm} / account
• Token-Endpunkt: / auth / realms / {Realm} / protocol / openid-connect

Schlüsselumhang Version: 4.6.0

• TokenUrl: [Domäne] / auth / realms / {REALM_NAME} / protocol / openid-connect / token
• AuthUrl: [Domäne] / auth / realms / {REALM_NAME} / protocol / openid-connect / auth

FQDN / auth / realms / {Realm_name} /. Bekannte / openid-Konfiguration

Hier sehen Sie alles. Wenn der Identitätsanbieter auch Keycloak ist, wird durch das Füttern dieser URL alles auch für andere Identitätsanbieter eingerichtet, wenn diese dies unterstützen und bereits erledigt haben

Sie können diese Informationen auch anzeigen, indem Sie in der Admin-Konsole -> Realm-Einstellungen -> auf den Hyperlink im Feld Endpunkte klicken.

Folgender Link Stellt ein JSON-Dokument bereit, das Metadaten zum Keycloak beschreibt

/auth/realms/{realm-name}/.well-known/openid-configuration

Die folgenden Informationen wurden mit Keycloak 6.0.1 für masterRealm gemeldet

{  
   "issuer":"http://localhost:8080/auth/realms/master",
   "authorization_endpoint":"http://localhost:8080/auth/realms/master/protocol/openid-connect/auth",
   "token_endpoint":"http://localhost:8080/auth/realms/master/protocol/openid-connect/token",
   "token_introspection_endpoint":"http://localhost:8080/auth/realms/master/protocol/openid-connect/token/introspect",
   "userinfo_endpoint":"http://localhost:8080/auth/realms/master/protocol/openid-connect/userinfo",
   "end_session_endpoint":"http://localhost:8080/auth/realms/master/protocol/openid-connect/logout",
   "jwks_uri":"http://localhost:8080/auth/realms/master/protocol/openid-connect/certs",
   "check_session_iframe":"http://localhost:8080/auth/realms/master/protocol/openid-connect/login-status-iframe.html",
   "grant_types_supported":[  
      "authorization_code",
      "implicit",
      "refresh_token",
      "password",
      "client_credentials"
   ],
   "response_types_supported":[  
      "code",
      "none",
      "id_token",
      "token",
      "id_token token",
      "code id_token",
      "code token",
      "code id_token token"
   ],
   "subject_types_supported":[  
      "public",
      "pairwise"
   ],
   "id_token_signing_alg_values_supported":[  
      "PS384",
      "ES384",
      "RS384",
      "HS256",
      "HS512",
      "ES256",
      "RS256",
      "HS384",
      "ES512",
      "PS256",
      "PS512",
      "RS512"
   ],
   "userinfo_signing_alg_values_supported":[  
      "PS384",
      "ES384",
      "RS384",
      "HS256",
      "HS512",
      "ES256",
      "RS256",
      "HS384",
      "ES512",
      "PS256",
      "PS512",
      "RS512",
      "none"
   ],
   "request_object_signing_alg_values_supported":[  
      "PS384",
      "ES384",
      "RS384",
      "ES256",
      "RS256",
      "ES512",
      "PS256",
      "PS512",
      "RS512",
      "none"
   ],
   "response_modes_supported":[  
      "query",
      "fragment",
      "form_post"
   ],
   "registration_endpoint":"http://localhost:8080/auth/realms/master/clients-registrations/openid-connect",
   "token_endpoint_auth_methods_supported":[  
      "private_key_jwt",
      "client_secret_basic",
      "client_secret_post",
      "client_secret_jwt"
   ],
   "token_endpoint_auth_signing_alg_values_supported":[  
      "RS256"
   ],
   "claims_supported":[  
      "aud",
      "sub",
      "iss",
      "auth_time",
      "name",
      "given_name",
      "family_name",
      "preferred_username",
      "email"
   ],
   "claim_types_supported":[  
      "normal"
   ],
   "claims_parameter_supported":false,
   "scopes_supported":[  
      "openid",
      "address",
      "email",
      "microprofile-jwt",
      "offline_access",
      "phone",
      "profile",
      "roles",
      "web-origins"
   ],
   "request_parameter_supported":true,
   "request_uri_parameter_supported":true,
   "code_challenge_methods_supported":[  
      "plain",
      "S256"
   ],
   "tls_client_certificate_bound_access_tokens":true,
   "introspection_endpoint":"http://localhost:8080/auth/realms/master/protocol/openid-connect/token/introspect"
}