我可以自己设置KEYCLOAK_IDENTITY cookie吗

Question

我在OpenID Connect中使用KeyCloak。

我在与KeyCloak相同的域上有一个应用程序。此应用程序有一个终结点，该终结点将授权代码作为参数，并在响应中设置“KEYCLOAK_IDENTITY”cookie 以启用 SSO。

它有效，但这样做安全吗？

编辑：我的问题是关于饼干的。我解释“为什么”只是为了给出一些背景。

编辑2：对于想要使用这个解决方案的人来说，我真的很关心钥匙斗篷社区…我的问题没有答案，即使有100英镑的赏金。

为什么我要这样做：

我需要在外部网站（它有自己的身份验证提供程序，我们称之为“站点 A”）和 Keycloak 处理的应用程序世界（我们称其中一个为“站点 K”）之间设置 SSO。

作为站点A的认证用户，如果我想在不登录（即使用SSO）的情况下导航到站点K，我需要登录KeyCloak（授权代码流将完成其工作）。

但是，为了登录KeyCloak，我需要：

1. 获取授权码
2. 将此代码交换为将添加到KeyCloak域的cookie（KeyCloak_IDENTITY）中的令牌

1.使用 OIDC 很棘手，但这是可能的。

2.OIDC 是不可能的：KeyCloak 中没有endpoint可以获取授权代码并设置 cookie，而无需在正文中返回令牌。

因此，我的解决方案是在KeyCloak所在的域中添加一个网关，它将从KeyCloak获取一个令牌，并将其添加到KEYCLOAK_IDENTITY cookie中...这很棘手，但确实有效。我的问题是:安全吗？

如果不清楚:随时提问！

Answer 1

您可以使用用户联合，这样站点A的任何用户都是密钥斗篷用户，但也有站点A不知道的密钥斗篷用户。如果标准用户联合（LDAP、Kerberos）对您不可用，您可以添加自定义用户联合SPI

Answer 2

如果它有自己的身份数据库，您应该考虑通过用户存储提供者实现(USP)将该数据库集成到站点K的keycloak中。这样，你的两个站点都将使用一个Keycloak服务器进行身份验证。

如果站点 A 中的身份数据库的用户帐户在站点 B 的 Keycloak 中重复，则可能会出现问题，如果是这样，您应该考虑合并（或者例如，首选来自 Keycloak 的现有用户 - 这是来自 Keycloak 身份数据库的用户与从用户存储提供程序实现中提取的用户冲突时的默认行为）。您还可以为 USP 创建单独的领域，并为您的应用程序使用多租户。