登錄及身份認證是現代web應用最基本的功能之一，對于企業內部的系統，多個系統往往希望有一套SSO服務對企業用戶的登錄及身份認證進行統一的管理，提升用戶同時使用多個系統的體驗，Keycloak正是為此種場景而生，本文將簡明的介紹Keycloak的安裝、使用，并給出目前較流行的前后端分離應用如何快速接入Keycloak的示例，
Keycloak是什么
Keycloak是一種面向現代應用和服務的開源IAM（身份識別與訪問管理）解決方案
Keycloak提供了單點登錄（SSO）功能，支持OpenID Connect、OAuth 2.0、SAML 2.0標準協議，擁有簡單易用的管理控制臺，并提供對LDAP、Active Directory以及Github、Google等社交賬號登錄的支持，做到了非常簡單的開箱即用，
Keycloak常用核心概念介紹
首先通過官方的一張圖來了解下整體的核心概念
這里先只介紹4個最常用的核心概念：
-
Users: 用戶，使用并需要登錄系統的物件 -
Roles: 角色，用來對用戶的權限進行管理 -
Clients: 客戶端，需要接入Keycloak并被Keycloak保護的應用和服務 -
Realms: 領域，領域管理著一批用戶、證書、角色、組等，一個用戶只能屬于并且能登陸到一個域，域之間是互相獨立隔離的， 一個域只能管理它下面所屬的用戶
Keycloak服務安裝及配置
安裝Keycloak
Keycloak安裝有多種方式，這里使用Docker進行快速安裝
docker run -d --name keycloak \
-p 8080:8080 \
-e KEYCLOAK_USER=admin \
-e KEYCLOAK_PASSWORD=admin \
jboss/keycloak:10.0.0
訪問http://localhost:8080并點擊Administration Console進行登錄
創建Realm
創建一個新的realm: demo，后續所有的客戶端、用戶、角色等都在此realm中創建
創建客戶端
創建前端應用客戶端
創建一個新的客戶端：vue-demo，Access Type選擇public
創建后端應用客戶端
創建一個新的客戶端：spring-boot-demo，Access Type選擇bearer-only
保存之后，會出現Credentials的Tab，記錄下這里的secret，后面要用到
關于客戶端的訪問型別（Access Type）
上面創建的2個客戶端的訪問型別分別是public、bearer-only，那么為什么分別選擇這種型別，實際不同的訪問型別有什么區別呢？
事實上，Keycloak目前的訪問型別共有3種：
confidential：適用于服務端應用，且需要瀏覽器登錄以及需要通過密鑰獲取access token的場景，典型的使用場景就是服務端渲染的web系統，
public：適用于客戶端應用，且需要瀏覽器登錄的場景，典型的使用場景就是前端web系統，包括采用vue、react實作的前端專案等，
bearer-only：適用于服務端應用，不需要瀏覽器登錄，只允許使用bearer token請求的場景，典型的使用場景就是restful api，
創建用戶和角色
創建角色
創建2個角色：ROLE_ADMIN、ROLE_CUSTOMER
創建用戶
創建2個用戶：admin、customer
系結用戶和角色
給admin用戶分配角色ROLE_ADMIN
給customer用戶分配角色ROLE_CUSTOMER
Vue應用集成Keycloak簡明指南
創建vue專案
vue create vue-demo
添加官方Keycloak js配接器
npm i keycloak-js --save
npm i axios --save
main.js
import Vue from 'vue'
import App from './App.vue'
import Keycloak from 'keycloak-js'
Vue.config.productionTip = false
// keycloak init options
const initOptions = {
url: 'http://127.0.0.1:8080/auth',
realm: 'demo',
clientId: 'vue-demo',
onl oad:'login-required'
}
const keycloak = Keycloak(initOptions)
keycloak.init({ onl oad: initOptions.onLoad, promiseType: 'native' }).then((authenticated) =>{
if(!authenticated) {
window.location.reload();
} else {
Vue.prototype.$keycloak = keycloak
console.log('Authenticated')
}
new Vue({
render: h => h(App),
}).$mount('#app')
setInterval(() =>{
keycloak.updateToken(70).then((refreshed)=>{
if (refreshed) {
console.log('Token refreshed');
} else {
console.log('Token not refreshed, valid for '
+ Math.round(keycloak.tokenParsed.exp + keycloak.timeSkew - new Date().getTime() / 1000) + ' seconds');
}
}).catch(error => {
console.log('Failed to refresh token', error)
})
}, 60000)
}).catch(error => {
console.log('Authenticated Failed', error)
})
HelloWorld.vue
<template>
<div >
<h1>{{ msg }}</h1>
<div>
<p>
current user: {{user}}
</p>
<p>
roles: {{roles}}
</p>
<p>
{{adminMsg}}
</p>
<p>
{{customerMsg}}
</p>
</div>
</div>
</template>
<script>
import axios from 'axios'
export default {
name: 'HelloWorld',
props: {
msg: String
},
data() {
return {
user: '',
roles: [],
adminMsg: '',
customerMsg: ''
}
},
created() {
this.user = this.$keycloak.idTokenParsed.preferred_username
this.roles = this.$keycloak.realmAccess.roles
this.getAdmin()
.then(response=>{
this.adminMsg = response.data
})
.catch(error => {
console.log(error)
})
this.getCustomer()
.then(response => {
this.customerMsg = response.data
})
.catch(error => {
console.log(error)
})
},
methods: {
getAdmin() {
return axios({
method: 'get',
url: 'http://127.0.0.1:8082/admin',
headers: {'Authorization': 'Bearer ' + this.$keycloak.token}
})
},
getCustomer() {
return axios({
method: 'get',
url: 'http://127.0.0.1:8082/customer',
headers: {'Authorization': 'Bearer ' + this.$keycloak.token}
})
}
}
}
</script>
getAdmin()及getCustomer()這2個方法內部分別請求restful api
Spring Boot應用集成Keycloak簡明指南
添加Keycloak Maven依賴
<dependency>
<groupId>org.keycloak</groupId>
<artifactId>keycloak-spring-boot-starter</artifactId>
<version>10.0.0</version>
</dependency>
Spring Boot組態檔
官方檔案及網上大部分示例使用的都是properties格式的組態檔，而yaml格式的組態檔相對更簡潔清晰些，此示例使用yaml格式的組態檔，內容如下
server:
port: 8082
keycloak:
realm: demo
auth-server-url: http://127.0.0.1:8080/auth
resource: spring-boot-demo
ssl-required: external
credentials:
secret: 2d2ab498-7af9-48c0-89a3-5eec929e462b
bearer-only: true
use-resource-role-mappings: false
cors: true
security-constraints:
- authRoles:
- ROLE_CUSTOMER
securityCollections:
- name: customer
patterns:
- /customer
- authRoles:
- ROLE_ADMIN
securityCollections:
- name: admin
patterns:
- /admin
除了幾個必填的配置項外，另外需要注意的幾個配置項如下
credentials.secret：上文添加客戶端后Credentials Tab內對應的內容
bearer-only：設定為true，表示此應用的Keycloak訪問型別是bearer-only
cors：設定為true表示允許跨域訪問
security-constraints：主要是針對不同的路徑定義角色以達到權限管理的目的
/customer：只允許擁有ROLE_CUSTOMER角色的用戶才能訪問/admin：只允許擁有ROLE_ADMIN角色的用戶才能訪問- 未配置的路徑表示公開訪問
Controller內容
@RestController
public class HomeController {
@RequestMapping("/")
public String index() {
return "index";
}
@RequestMapping("/customer")
public String customer() {
return "only customer can see";
}
@RequestMapping("/admin")
public String admin() {
return "only admin cas see";
}
}
專案效果演示
分別啟動前后端專案后，本地8081埠對應vue前端專案，本地8082埠對應Spring Boot實作的restful api專案
首次訪問vue前端專案
第一次訪問vue專案會跳轉Keycloak登錄頁
登錄admin用戶
登錄customer用戶
總結
Keycloak部署及接入簡單，輕量的同時功能又不失強大，非常適合企業內部的SSO方案，
本文示例專案地址：keycloak-demo
轉載請註明出處，本文鏈接：https://www.uj5u.com/houduan/174991.html
標籤：Java
下一篇：java中的垃圾處理機制