如何从外部IDP读取/导入角色到Keycloak

Question

• 名为central的领域，具有角色centralwebuser和客户端SpringWeb。客户已经
  • 访问类型:public并且只启用了一个流，即standard flow enabled
  • 有效重定向URI:http://localhost:8000/*
  • 名为SpringUser的用户，其域角色为Webuser
  • 客户端spring_brokering仅将standard Flow enabled设置为ON，valid Redirect URI:http://localhost:8080/*，以及access type:failition

  第二个领域是第一个领域的国内流离失所者。因此，要登录，用户可以转到中心登录页面，并选择IDPSpringAppIDP。

  IDP配置如下：

  • 别名:springappidp，除了启用选项
  外，其他都 关闭
  • 授权URL、令牌URL等设置为来自SpringAppendpoint的URL(例如授权URL:http://127.0.0.1:8080/auth/realms/springapp/protocol/openid-connect/auth)
  • 客户端ID和客户端秘密分别是spring_brokering及其秘密。

  server.port                         = 8000
  keycloak.realm                      = Central
  keycloak.auth-server-url            = http://localhost:8080/auth
  keycloak.ssl-required               = external
  keycloak.resource                   = SpringWeb
  keycloak.public-client=true
  
  keycloak.security-constraints[0].authRoles[0]=WebUser
  keycloak.security-constraints[0].securityCollections[0].patterns[0]=/services/*
  

  有趣的是，如果在第一个领域中，我创建一个标识提供程序映射器外部角色到角色（在IDPSpringAppIDP配置中），将Webuser的外部角色映射到CentralWebuser并将spring属性更改为：

  keycloak.security-constraints[0].authRoles[0]=CentralWebUser
  keycloak.security-constraints[0].securityCollections[0].patterns[0]=/services/*
  

  我能够登录，这意味着Keycloak知道用户拥有Webuser角色，因此将该角色映射到CentralWebuser角色。

  我想知道是否可以将角色从外部IDP显式导入到内部IDP中？或者，我是否（以及如何）代表用户请求一个令牌，该令牌将具有来自central和SpringWeb领域的用户角色，而不必为每个用户角色显式创建角色映射器。

Answer 1

我想知道是否可以将角色从外部IDP显式导入到内部IDP中？或者我是否（以及如何）代表用户请求一个令牌，该令牌将在该令牌中拥有来自Central和SpringWeb领域的用户角色，而不必为每个用户角色显式创建角色映射器。

如果不显式地为每个用户角色创建角色映射器，我找到的唯一解决方案是扩展Keycloak代码；这也带来了明显的负面影响。

回想起来，Keycloak没有提供一种开箱即用的方法来自动从外部IDP导入所有角色，这实际上是有意义的。例如，如果我使用Google作为外部IDP，为什么我的内部IDP（即Keycloak）要关心Google使用的角色的确切名称？！。最有可能的是，这些角色对于内部IDP来说没有意义，当它们有意义时，它们可能有不同的名称。无论如何，对于这些异常，可以使用角色映射器特性。

ROLE A | ROLE B
....

使用脚本，我读取具有角色之间映射的文件，并使用Keycloak Admin REST API创建角色、映射器等。

我使用的逻辑如下：

• 如果该角色不存在于外部IDP中，我只是跳过并假定这是一个错误；
• 如果该角色不存在于内部IDP中，我将其创建为一个领域角色；为此，我使用endpointpost/{realm}/roles
• 最后，我使用endpointpost/{realm}/identity-provider/instances/{alias}/mappers创建角色映射器，其中包含JSON模板角色映射器文件的内容（相应地替换了其标记）。