Для чего нужен Keycloak?

Keycloak: Identity and Access Management

Keycloak — это мощное решение для управления идентификацией и доступом (IAM - Identity and Access Management), разработанное RedHat. Это открытый источник (open-source) сервер аутентификации и авторизации для современных приложений.

Основное назначение Keycloak

KeyCloak служит централизованным сервером для:

1. Аутентификации — проверка, кто ты есть
2. Авторизации — проверка, что ты имеешь право делать
3. Управления пользователями — создание, удаление, изменение пользователей
4. Социальных логинов — Google, Facebook, GitHub интеграции
5. Двухфакторной аутентификации — OTP, TOTP для безопасности

Архитектура Keycloak

Your Applications (Web, Mobile, Desktop)
           ↓
    Keycloak Server (IAM)
           ↓
    User Storage (LDAP, Database, Custom)
    Social Providers (Google, FB)
    SAML/OpenID Connect

Протоколы, которые поддерживает Keycloak

1. OpenID Connect (OIDC)

• Современный стандарт для аутентификации
• Построен на OAuth 2.0
• Рекомендуется для новых приложений

2. OAuth 2.0

• Протокол авторизации
• Делегированный доступ
• API защита

3. SAML 2.0

• Корпоративный стандарт
• Часто используется в enterprise
• Legacy поддержка

Практический пример: Интеграция Spring Boot с Keycloak

<!-- pom.xml -->
<dependency>
    <groupId>org.keycloak</groupId>
    <artifactId>keycloak-spring-boot-starter</artifactId>
    <version>20.0.0</version>
</dependency>

# application.yml
keycloak:
  realm: my-realm
  auth-server-url: http://localhost:8080/auth
  ssl-required: external
  resource: my-app
  credentials:
    secret: your-client-secret
  use-resource-role-mappings: true
  principal-attribute: preferred_username

@SpringBootApplication
@EnableWebSecurity
public class Application {
    
    public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }
    
    @Bean
    public KeycloakSpringBootConfigResolver keycloakConfigResolver() {
        return new KeycloakSpringBootConfigResolver();
    }
}

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig {
    
    @Bean
    protected SessionAuthenticationStrategy sessionAuthenticationStrategy() {
        return new RegisterSessionAuthenticationStrategy(
            new SessionRegistryImpl()
        );
    }
    
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests()
            .antMatchers("/").permitAll()
            .antMatchers("/api/**").authenticated()
            .and()
            .oauth2Login();
        return http.build();
    }
}

@RestController
@RequestMapping("/api")
public class UserController {
    
    @GetMapping("/profile")
    @PreAuthorize("hasRole('user')")
    public ResponseEntity<UserProfile> getProfile(
            @AuthenticationPrincipal Jwt jwt) {
        String username = jwt.getClaim("preferred_username");
        // ...
        return ResponseEntity.ok(profile);
    }
    
    @GetMapping("/admin")
    @PreAuthorize("hasRole('admin')")
    public ResponseEntity<String> adminOnly() {
        return ResponseEntity.ok("Admin access");
    }
}

Сценарий использования 1: Веб приложение

// User нажимает на кнопку Login
// 1. Приложение перенаправляет на Keycloak
// 2. Keycloak показывает форму входа
// 3. User вводит учетные данные
// 4. Keycloak валидирует
// 5. Keycloak перенаправляет обратно с токеном
// 6. Приложение использует токен

@RestController
public class LoginController {
    
    @GetMapping("/login/callback")
    public ResponseEntity<String> loginCallback(
            @RequestParam("code") String authCode) {
        // Обмен authorization code на access token
        String accessToken = keycloakService.exchangeCodeForToken(authCode);
        return ResponseEntity.ok(accessToken);
    }
}

Сценарий использования 2: Микросервисная архитектура

API Gateway (с Keycloak)
    ↓
    ├─→ User Service (проверяет JWT от Keycloak)
    ├─→ Order Service (проверяет JWT от Keycloak)
    └─→ Payment Service (проверяет JWT от Keycloak)

Все сервисы доверяют JWT от Keycloak

@RestController
@RequestMapping("/api/users")
public class UserService {
    
    @GetMapping
    @PreAuthorize("hasRole('admin')")
    public List<User> getAllUsers(
            @AuthenticationPrincipal Jwt jwt) {
        // jwt содержит информацию о пользователе от Keycloak
        String userId = jwt.getClaimAsString("sub");
        // ...
    }
}

Управление ролями и разрешениями

@RestController
public class RoleController {
    
    @GetMapping("/public")
    public String publicAccess() {
        return "Everyone can see this";
    }
    
    @GetMapping("/user-only")
    @PreAuthorize("hasRole('user')")
    public String userAccess() {
        return "Only authenticated users";
    }
    
    @GetMapping("/admin-only")
    @PreAuthorize("hasRole('admin')")
    public String adminAccess() {
        return "Only admins";
    }
    
    @GetMapping("/moderator-only")
    @PreAuthorize("hasRole('moderator')")
    public String moderatorAccess() {
        return "Only moderators";
    }
    
    @GetMapping("/complex-permission")
    @PreAuthorize("hasRole('admin') AND hasRole('manager')")
    public String complexPermission() {
        return "Must have both admin and manager roles";
    }
}

Двухфакторная аутентификация (2FA)

Keycloak поддерживает:

• TOTP (Time-based One-Time Password) — как Google Authenticator
• OTP по SMS или email
• WebAuthn/FIDO2

// При первом входе пользователя, Keycloak может потребовать 2FA
@PostMapping("/setup-2fa")
public ResponseEntity<String> setup2FA(
        @AuthenticationPrincipal Jwt jwt) {
    // Keycloak автоматически управляет процессом
    // Скан QR кода → настройка в Google Authenticator → сохранение
    return ResponseEntity.ok("2FA enabled");
}

Социальные логины

// Пользователь может залогиниться через Google, Facebook и т.д.
// Keycloak управляет связью между социальным аккаунтом и локальным юзером

@GetMapping("/login")
public String login() {
    // Кнопки: Login with Google, Login with Facebook, etc.
    // Keycloak обрабатывает весь процесс
    return "login.html";
}

Преимущества Keycloak

1. ✅ Open Source — бесплатный и независимый
2. ✅ Java Based — хорошо интегрируется с Java экосистемой
3. ✅ Поддержка стандартов — OIDC, OAuth 2.0, SAML
4. ✅ Управление пользователями — Admin console
5. ✅ Масштабируемость — может быть развёрнут в кластере
6. ✅ Гибкость — можно кастомизировать
7. ✅ Безопасность — встроенная защита от атак
8. ✅ MFA/2FA — двухфакторная аутентификация

Недостатки

1. ⚠️ Сложность настройки — не простая конфигурация
2. ⚠️ Overhead — добавляет extra latency
3. ⚠️ Обучение — нужно понимать OIDC/OAuth2/SAML
4. ⚠️ Ресурсы — требует database и server

Альтернативы

• Auth0 — коммерческий облачный сервис
• Okta — enterprise решение
• AWS Cognito — AWS сервис
• Firebase Auth — Google сервис
• Spring Security + JWT — самодельное решение

Когда использовать Keycloak

Используй Keycloak если:

• Нужна centralized authentication для multiple приложений
• Требуется enterprise-grade IAM
• Хочешь избежать vendor lock-in (open source)
• Нужны социальные логины и 2FA
• Есть комплексные требования к авторизации

НЕ используй Keycloak если:

• Простое приложение с простой аутентификацией
• Нет ресурсов на поддержку отдельного сервера
• Уже используешь другой провайдер (Okta, Auth0)

Типовая архитектура с Keycloak

Users
  ↓
Keycloak Server (OIDC Provider)
  ↓
  ├─→ Web Application #1 (Spring Boot)
  ├─→ Web Application #2 (React)
  ├─→ Mobile App (Android/iOS)
  └─→ API Gateway

Все приложения используют Keycloak для аутентификации
и получают JWT токены, которые используют для API запросов

Заключение

Keycloak — это мощная и универсальная платформа для управления идентификацией и доступом. Она позволяет:

1. Централизовать аутентификацию — один сервер для всех приложений
2. Использовать стандартные протоколы — OIDC, OAuth 2.0, SAML
3. Управлять ролями и разрешениями — fine-grained access control
4. Добавить безопасность — MFA, 2FA, социальные логины
5. Масштабировать — подойдёт как для small так и для enterprise приложений

Это особенно полезно в микросервисной архитектуре, где нужно разделить аутентификацию и авторизацию между несколькими сервисами.