用Keycloak构建Java OAuth2.0授权服务器

Question

• 目标：Java授权服务器：
  • OAuth2.0授权代码授予细粒度权限流（不仅仅是SSO服务器）
  • 用户管理和身份验证：自定义数据库
  • 客户端管理和身份验证:KeyCloak
  • 在开发中应该使用什么Keycloak适配器/API？
  • 如果用户要出现在Keycloak中，应该如何管理/显示它们？

  我是Keycloak的初学者，虽然我认为我理解主要原理，但它似乎是一个丰富的工具，我担心我可能仍然在使用它的最佳方法的某些方面存在错误。请不要犹豫纠正我。

  用户的同意将使用OAuth2.0授权代码授予流给予。它们将登录，指定它们授予哪些权限，拒绝哪些权限，然后客户端检索它将用于访问API的访问令牌。

  我的理解是，Keycloak可以处理授权令牌，但它不应该知道任何适用的东西，即我们的权限是什么。因此，我考虑构建一个自定义授权服务器，它将使用Keycloak处理所有身份/身份验证问题，但将自己处理应用权限。

  然后，我们将使用Keycloak进行客户端身份验证和授权代码/访问令牌管理，应用部分将检查权限。

  我一直在查看可用的Java适配器。当涉及到身份验证时，它们看起来很好，但我没有看到关于如何从自定义授权服务器管理客户机（即管理领域）的提示。

  因此，我认为我应该使用管理API。我是正确的吗？这是好的练习吗？我没有看到这样的适配器，所以我想我应该使用REST API。

  我也在想，我们应该如何在设计中整合我们的用户？它们应该在钥匙斗篷内复制吗？在这种情况下，我们应该使用KeyCloak的管理API从授权服务器推送数据，还是有更好的方法？

  _{2。我主要关注Spring Security OAuth提供的示例应用程序}

Answer 1

用Keycloak构建Java OAuth2.0授权服务器

这是可能的，但有点棘手，有很多东西需要定制。

你可以从下面的回购中得到一些动力。

https://github.com/mitreid-connect/openid-connect-java-spring-server

MITREid Connect使用Spring Security进行身份验证，因此您可以将您喜欢的任何组件放入该空间。关于如何为自定义身份验证机制编写和配置Spring Security过滤器，web上有很多很好的资源。

您需要查看user-context.xml文件，以了解定义用户身份验证的位置。在核心项目中，这是针对本地数据库的一个简单的用户名/密码字段。在LDAP覆盖项目等其他项目中，它连接到LDAP服务器。在某些系统中，比如MIT的“oidc.mit.edu”服务器，实际上有几种不同的身份验证机制可以并行使用:LDAP、kerberos和证书。