Каким образом использовал Keycloack?

Опыт использования Keycloak в Enterprise-проектах

Keycloak я использовал в качестве централизованной системы управления идентификацией и доступом (IAM) в нескольких крупных enterprise-проектах на C# бэкенде. Основные сценарии применения:

1. Единая точка аутентификации (SSO) для микросервисной архитектуры

В распределенной системе из 15+ микросервисов на .NET Core мы интегрировали Keycloak для реализации OAuth 2.0/OpenID Connect:

// Конфигурация в Program.cs микросервиса
builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = "Bearer";
    options.DefaultChallengeScheme = "oidc";
})
.AddJwtBearer("Bearer", options =>
{
    options.Authority = "https://keycloak.example.com/auth/realms/my-realm";
    options.Audience = "my-service-api";
    options.RequireHttpsMetadata = true;
})
.AddOpenIdConnect("oidc", options =>
{
    options.Authority = "https://keycloak.example.com/auth/realms/my-realm";
    options.ClientId = "my-service-client";
    options.ClientSecret = configuration["Keycloak:ClientSecret"];
    options.ResponseType = "code";
    options.SaveTokens = true;
});

2. Управление ролями и политиками доступа

Создавал Custom Authorization Policies на основе ролей и пермишенов из Keycloak:

// Политика для проверки realm-ролей
services.AddAuthorization(options =>
{
    options.AddPolicy("RequireAdminRole", policy =>
        policy.RequireClaim("realm_access.roles", "admin"));
    
    options.AddPolicy("FinancialAccess", policy =>
        policy.RequireClaim("resource_access.my-client.roles", 
            new[] { "finance-view", "finance-edit" }));
});

// Использование в контроллере
[Authorize(Policy = "FinancialAccess")]
[HttpGet("transactions")]
public IActionResult GetFinancialData() { ... }

3. Интеграция с существующими пользовательскими базами

Реализовывал User Federation с LDAP/Active Directory и кастомными провайдерами:

• LDAP Integration: Настраивал синхронизацию пользователей из корпоративного AD
• Custom User Storage SPI: Разрабатывал Java-провайдер для работы с legacy SQL-базой пользователей
• Just-In-Time Provisioning: Автоматическое создание пользователей при первом входе через соц. сети

4. Настройка клиентов и scope для разных типов приложений

Создавал отдельные клиенты для:

• SPA приложения (Vue.js/React) с потоком Authorization Code + PKCE
• Мобильных приложений с использованием Refresh Token rotation
• Сервис-сервисной аутентификации с client_credentials grant
• Machine-to-Machine коммуникации через service accounts

5. Кастомные аутентификационные потоки

Реализовывал через Authentication Flows:

• Многофакторная аутентификация (SMS + TOTP)
• Step-up authentication для критичных операций
• Условные политики доступа на основе времени, IP-адреса, устройства

6. Мониторинг и аудит

Настраивал:

• Event Listeners для отправки событий аутентификации в Kafka
• Admin REST API для автоматического управления реалмами и клиентами
• Health Checks для интеграции с мониторингом Kubernetes:

// Health check для Keycloak
services.AddHealthChecks()
    .AddKeycloakHealthCheck(
        name: "keycloak",
        keycloakUrl: "https://keycloak.example.com",
        tags: new[] { "auth", "external" }
    );

7. Проблемы и решения

Типичные вызовы и как их решал:

1. Производительность при высокой нагрузке

   • Кеширование JWK Set и конфигурации OpenID
   • Использование Infinispan для распределенного кеширования сессий
   • Настройка Connection Pool к базе данных

2. Кастомизация токенов

   • Добавление кастомных claim через Protocol Mappers
   • Script Mappers для динамического добавления данных в токены
   • Aggregated claims из нескольких источников

3. High Availability

   • Кластеризация 3+ нод Keycloak
   • Load balancing с sticky sessions
   • Репликация данных через PostgreSQL streaming replication

4. Безопасность

   • Регулярная ротация ключей подписи
   • Настройка CORS политик
   • Защита от brute force через Lockout Policies

8. Интеграция с экосистемой .NET

Основные используемые библиотеки:

• Microsoft.AspNetCore.Authentication.OpenIdConnect
• IdentityModel для низкоуровневых операций
• Keycloak.Net для административных задач
• Duende.BFF для паттерна Backend-for-Frontend

Keycloak доказал свою эффективность как корпоративное решение IAM, хотя требует значительных усилий по первоначальной настройке и кастомизации. Его основные преимущества для .NET разработчика — богатый функционал "из коробки", поддержка стандартов и возможность глубокой интеграции с существующей инфраструктурой аутентификации ASP.NET Core.