Keyclope刷新外部IDP令牌

Question

我们正在使用keyclope身份代理将身份验证联合到外部IDP。标识提供程序的类型为OpenID Connect v1.0。此外，我们正在PKCE中使用OIDC授权代码流。

我们能够根据以下留档成功地从外部IDP中检索令牌：https://www.keycloak.org/docs/latest/server_admin/#retrieving-external-idp-tokens

但是，当使用用户代理授予的“refresh\u token”刷新KeyClope令牌时，外部IDP中的令牌不会被刷新。在这个主题上，keybeapt提供的文档非常少。

有人知道如何从外部IDP刷新令牌吗？

最新消息：我已经向Keyclope社区发布了一个问题https://github.com/keycloak/keycloak-community/issues/277

Answer 1

@Hawk提出的解决方案引用了一种不同的API-令牌交换-它可以用于检索（甚至伪造）KeyClope上的令牌。在您可以交换的所有不同令牌中，您可以从配置的身份提供程序中检索令牌，这也是我们最终使用的。

长话短说，您正在使用的“检索外部IDP令牌”功能不会为您刷新令牌：如果您计划使用它，您必须检索刷新令牌并自己生成新的访问令牌，这很不幸，因为这将迫使您在应用程序上拥有身份提供器的客户端/机密ID。

Token Exchange API将改为为您刷新令牌。您可以通过发出此请求轻松检索IP访问令牌（示例使用python，您显然可以使用任何其他语言）：

    response = requests.post(
        f"{ID_PROVIDER_HOST}/auth/realms/{REALM}/protocol/openid-connect/token",
        data={
            "client_id": CLIENT_ID,
            "client_secret": CLIENT_SECRET,
            "grant_type": "urn:ietf:params:oauth:grant-type:token-exchange",
            "requested_token_type": "urn:ietf:params:oauth:token-type:access_token",
            "requested_issuer": IDENTITY_PROVIDER_ALIAS,
            "subject_token": access_token,
        },
    )

不过，您需要一些配置：首先，从当前的Keyclope版本（17）开始，令牌交换处于“技术预览”中，默认情况下不启用；请参阅Keyclope文档以了解如何启用它。

然后，您需要允许客户端交换IP令牌：从您领域的管理面板：

• 从侧栏中选择“身份提供者”

Answer 2

Keyclope保留来自上游IdP的访问令牌和刷新令牌。执行令牌交换时，如果访问令牌已过期，但刷新令牌尚未过期，则会刷新令牌，如下所示：https://github.com/keycloak/keycloak/blob/master/services/src/main/java/org/keycloak/broker/oidc/OIDCIdentityProvider.java#L186-L187

最重要的是，您需要比外部刷新令牌过期更频繁地调用令牌交换endpoint。根据您的实现，您可以通过多种方式利用这一点。例如，我已将我的访问令牌ttl设置为比外部IdP的刷新令牌ttl短，并且我有一个机密客户端，它在每次看到新的访问令牌时都会调用令牌交换endpoint，这不是最好的解决方案，但它比刺眼的棍子要好。

我不知道为什么当你对你的keydropeat造币令牌进行令牌刷新时，keydropeat开发人员不只是刷新任何外部令牌。他们都是聪明人，所以我相信这是有原因的，但到目前为止我还没有弄明白。我一直在考虑扩展现有的OIDCIdentityProvider来做到这一点，但在我了解自己的情况之前，我宁愿不打开那罐蠕虫。如果有人有任何见解，我将不胜感激。