Как я могу ограничить клиентский доступ только одной группе пользователей в Keycloak?

Question

Как я могу ограничить клиентский доступ только одной группе пользователей в Keycloak?

У меня есть клиент в keycloak для моей страницы awx(ansible tower). Мне нужны только пользователи из одного конкретного keycloak группа, чтобы иметь возможность войти через этого клиента.

Как я могу запретить всем этим пользователям (кроме одной определенной группы) использовать это keycloak клиент?

49

keycloak single-sign-on saml idp

Источник

user6516538 22 янв '19 в 10:11

10 ответов

Решение

Я нашел решение, которое не требует расширения скриптов или каких-либо изменений в потоке.

Ключом к этому решению являются клиентские области. Приложение, которое хочет авторизовать пользователя, нуждается в такой области, как электронная почта или uid, верно? Что, если вы передадите их приложению, только если пользователь входит в определенную группу?

В дальнейшем имя моего клиентского приложения - App1.

Решение:

Перейдите к своим клиентским ролям (область -> Клиенты -> щелкните Приложение1-> Роли)
Нажмите "Добавить роль" -> введите имя (например, "доступ") -> нажмите "Сохранить".
Перейдите в Client Scopes (область -> Client Scopes)
Щелкните область, которая требуется вашему клиентскому приложению (например, "электронная почта").
Назначьте роль клиента "доступ" на вкладке "Область действия", выбрав клиентское приложение "Приложение1" в раскрывающемся списке "Роли клиента".

Теперь вы больше не сможете войти в свое клиентское приложение App1, поскольку роль "доступ" не назначена ни одному пользователю или группе. Ты можешь попробовать.

Создадим новую группу и назначим ей роль и пользователя.

Создать группу (область -> Группы -> нажмите "Создать" -> введите имя "Пользователи приложения1" -> нажмите "Сохранить")
В группе выберите "Сопоставление ролей", выберите "Приложение1" в раскрывающемся списке "Роли клиента" и назначьте роль "доступ".
Назначьте пользователя "Пользователи приложения 1" (область -> Пользователи -> нажмите "Пользователь" -> Группы -> выберите "Пользователи приложения 1" -> нажмите "Присоединиться")

Вуаля, выбранный пользователь может войти в App1.

24

Источник

user14560144 01 ноя '20 в 23:31

В консоли администратора Keycloak перейдите в меню "Клиенты" и выберите своего клиента. На странице конфигурации клиента выберите " Авторизация включена": нажмите " Сохранить". Должна появиться новая вкладка " Авторизация ", перейдите на нее, затем на вкладку " Политики " внизу нажмите " Создать политику" и выберите " Групповая политика". Там вы можете ограничить доступ к определенным группам, предполагая, что вы уже определили свои группы через меню групп.

17

Источник

user5852281 26 янв '19 в 01:16

Если это может помочь, вот сценарий, который помогает реализовать это поведение для любого клиента: если клиент содержит заданную роль (здесь это называется feature:authenticate), затем сценарий проверяет, есть ли у пользователя роль, и показывает страницу с ошибкой (новый шаблон, который необходимо развернуть в теме), если нет.

AuthenticationFlowError = Java.type("org.keycloak.authentication.AuthenticationFlowError");

 function authenticate(context) {
    var MANDATORY_ROLE = 'feature:authenticate';
    var username = user ? user.username : "anonymous";

    var client = session.getContext().getClient();

    LOG.debug("Checking access to authentication for client '" + client.getName() + "' through mandatory role '" + MANDATORY_ROLE + "' for user '" + username + "'");

    var mandatoryRole = client.getRole(MANDATORY_ROLE);

    if (mandatoryRole === null) {
        LOG.debug("No mandatory role '" + MANDATORY_ROLE + "' for client '" + client.getName() + "'");
        return context.success();
    }

    if (user.hasRole(mandatoryRole)) {
        LOG.info("Successful authentication for user '" + username + "' with mandatory role '" + MANDATORY_ROLE + "' for client '" + client.getName() + "'");
        return context.success();
    }

    LOG.info("Denied authentication for user '" + username + "' without mandatory role '" + MANDATORY_ROLE + "' for client '" + client.getName() + "'");
    return denyAccess(context, mandatoryRole);
 }

 function denyAccess(context, mandatoryRole) {
    var formBuilder = context.form();
    var client = session.getContext().getClient();
    var description = !mandatoryRole.getAttribute('deniedMessage').isEmpty() ? mandatoryRole.getAttribute('deniedMessage') : [''];
    var form = formBuilder
        .setAttribute('clientUrl', client.getRootUrl())
        .setAttribute('clientName', client.getName())
        .setAttribute('description', description[0])
        .createForm('denied-auth.ftl');
    return context.failure(AuthenticationFlowError.INVALID_USER, form);
 }

8

Источник

user833875 30 июл '19 в 15:32

Продолжение ответа Аллана: его подход работает (для меня;-)), хотя у меня были некоторые трудности с его развертыванием. Вот как я это сделал:

Объедините сценарий в файл JAR, как описано здесь, разверните его, скопировав в автономный файл /deployments/ (см. Ссылку на руководство)
Включить скрипты: запустите Keycloak с -Dkeycloak.profile.feature.scripts=enabled
В своем царстве создайте новый поток. Дублируйте поток браузера в требуемом подпотоке и добавьте аутентификатор скрипта в качестве последнего (обязательного) элемента:
Теперь добавьте ко всем клиентам, которым необходимо ограничить роль клиента. feature:authenticate. Пользователи, не выполняющие эту роль, не получат доступ к приложению.

8

Источник

user222232 06 апр '20 в 10:54

Вы можете использовать это расширение для ограничения доступа к определенной группе: https://github.com/thomasdarimont/keycloak-extension-playground/tree/master/auth-require-group-extension

4

Источник

user381166 26 мар '20 в 19:47

2021 год - Keycloak 7.4.1.GA

Я решил это так для SAML2:

Добавить новый поток аутентификации (просто скопируйте существующий)
Добавьте выполнение "Group Access Observer" и установите его как Required
Действия -> Настроить Group Access Observer линия
Заполните название группы
Идите к своему клиенту и поменяйте Authentication flow создать сейчас.

Наилучшие пожелания

2

Источник

user1242684 13 янв '21 в 12:52

С Keycloak>= 13.x вы можете попробовать аутентификаторы «Разрешить / Запретить доступ» с условиями. Вы можете назначить роль группе и построить условие на основе этой роли.

Если это недостаточно гибко, попробуйте эту библиотеку, которую я создал, чтобы решить именно эту проблему.

2

Источник

01 июл '21 в 13:32

Я попробовал решение Аллана, и оно отлично работает с Keycloak 11.0.3, но у него есть некоторые минусы, упомянутые ниже. Вот мое решение для скрипта аутентификации, который не предоставляет доступ пользователям, если они не являются членами хотя бы одной из указанных групп. В этом случае отображается уникальное сообщение об ошибке.

AuthenticationFlowError = Java.type("org.keycloak.authentication.AuthenticationFlowError");

 function authenticate(context) {
    var allowed_groups = ['foo', 'bar'];
    var username = user ? user.username : "anonymous";
    var groups = user.getGroups();
    var group_array = groups.toArray();
    
    for (var i in group_array) {
        var gn = group_array[i].getName();
        if (allowed_groups.indexOf(gn) >= 0) {
            LOG.info("Access granted for user '" + username + "' for being member of LDAP group '" + gn + "'");
            return context.success();
        }    
    }

    LOG.info("Access denied for user '" + username + ". for not being member of any of the following LDAP groups: " + allowed_groups);
    context.failure(AuthenticationFlowError.IDENTITY_PROVIDER_DISABLED, context.form().setError(
        "User doesn't have the required LDAP group membership to view this page", null).createForm("error.ftl"));
    return;
 }

Стоит упомянуть два незначительных недостатка этого решения, связанных с пользовательским интерфейсом:

Когда не вошедший в систему пользователь пытается подключиться к клиенту, доступ которого запрещен сценарием аутентификации, весь процесс аутентификации считается неудачным. Это означает, что пользователь не входит в Keycloak, несмотря на то, что он предоставил правильные учетные данные.
Когда вошедший в систему пользователь пытается подключиться к клиенту, доступ которого запрещен сценарием аутентификатора, отображается страница входа в Keycloak (без отображения каких-либо сообщений об ошибке), что вводит в заблуждение, поскольку у пользователя может возникнуть ложное ощущение, что он не вошел в систему

Кроме того, если вы обслуживаете несколько клиентов и вам нужно иметь разные группы (или роли), проверенные для каждого клиента, вам необходимо реализовать столько новых потоков аутентификации, сколько вам нужно различных проверок. Короче говоря, решение работает, но имеет некоторые недостатки. Я считаю, что такая простая функция, как ограничение доступа на основе групп или ролей, важна для системы управления идентификацией и доступом и должна поддерживаться изначально!

2

Источник

user11572868 19 ноя '20 в 00:06

Согласно документу https://www.keycloak.org/docs/6.0/server_admin/, вы должны активировать эту функцию, чтобы добавить некоторые пользовательские сценарии с "добавлением выполнения".

bin/standalone.sh|bat -Dkeycloak.profile.feature.scripts=enabled

Решение @Allan с функцией: аутентификация мне нравится

2

Источник

user12572735 20 дек '19 в 22:58

Другие вопросы по тегам keycloak single-sign-on saml idp

user6516538 27 янв '19 в 02:11 2019-01-27 02:11 · Accepted Answer · 2019-01-27 02:11

Решено: 1. Создать новую роль в Keycloak. 2. Назначьте эту роль группе. 3. Создайте новый скрипт аутентификации в keycloak. Настройте, какая роль разрешена при входе в систему (например, user.hasRole (realm.getRole ("yourRoleName"))). 4. В настройках клиента в разделе "Переопределения потока аутентификации" выберите созданную аутентификацию (из шага 3).