Общая схема взаимодействия

Установка

Полноценного этапа установки у сервиса нет, в основном старт сервиса заключается в исполнении скрипта или поднятии контейнеров.

Подробнее про возможные концепции старта сервиса можно посмотреть здесь.

Docker compose

Рассмотрим работу через docker compose.

version: "3.9"
services:
  keycloak-postgres:
    image: library/postgres:${KC_POSTGRES_IMAGE_TAG:-15}
    container_name: ${POSTGRES_CONTAINER_NAME:-postgres}
    restart: unless-stopped
    environment:
      POSTGRES_USER: postgres
      POSTGRES_PASSWORD: postgres
      POSTGRES_DB: postgres
    healthcheck:
      test: pg_isready -d postgres
      interval: 10s
      timeout: 5s
      retries: 3
      start_period: 5s
    ports:
      - ${KC_POSTGRES_PORT_MAPPING:-5435}:5432
    volumes:
      - postgres:/var/lib/postgresql/data
    deploy:
      resources:
        limits:
          memory: 256M

  keycloak:
    image: quay.io/keycloak/keycloak:20.0.5
    container_name: keycloak
    restart: unless-stopped
    command:
      - start --auto-build --db postgres --hostname-strict-https false 
        --hostname-strict false --http-enabled true --import-realm 
        --spi-login-protocol-openid-connect-suppress-logout-confirmation-screen=true 
        --spi-login-protocol-openid-connect-legacy-logout-redirect-uri=true 
        --spi-user-profile-legacy-user-profile-read-only-attributes *_RES_ACCESS_MODE
    environment:
      KC_DB_URL: jdbc:postgresql://keycloak-postgres:5432/postgres
      KC_DB_USERNAME: postgres
      KC_DB_PASSWORD: postgres
      KC_DB_SCHEMA: public
      KC_FEATURES: preview
      KEYCLOAK_ADMIN: admin
      KEYCLOAK_ADMIN_PASSWORD: admin
    ports:
      - 8282:8080
    depends_on:
      keycloak-postgres:
        condition: service_healthy
    healthcheck:
      test: ["CMD", "curl", "-f", "http://0.0.0.0:8080/realms/master"]
      start_period: 10s
      interval: 30s
      retries: 3
      timeout: 5s

volumes:
  postgres:

docker compose up -d

После старта сервиса можно перейти в web для его конфигурации http://{serverIp}:8282 , данные для входа указаны в конфигурации docker-compose.yml KEYCLOAK_ADMIN и KEYCLOAK_ADMIN_PASSWORD.

Настройка

Первоначальная

Конфигурация Realms

Согласно документации keycloak "master" realm мы используем только для создание других realms. В свою очередь созданные нами realms из мастера мы будем конфигурировать в будущем и интегрировать с приложениями. 

Таким образом мы можем создавать разные области, в которых будет собственная настройка для авторизации и аутентификации.

После создания вы автоматически окажетесь в новом realm, дальнейшие настройки мы продолжаем в нем.

Конфигурация Clients

Сущность client - нужна нам для связи keycloak с конкретным приложением.
Создадим клиент для взаимодействия с wifi-cab в качестве общего примера:

Для корректной работы нужно создать следующие клиенты:

• wifi-cab - для работы с личным кабинетом.

• portal-constructor - для работы с порталом.

• nbi - для правильного взаимодействия с back-сервисом.
• ems - для работы с системой управления.

Конфигурация Mappers

Сущность mapper - нужна нам для определения keycloak какой атрибут пользователя передать в приложение.
Каждое приложение использует свои mappers, поэтому иногда процедуру требуется сделать несколько раз в зависимости от приложения.
Создадим mapper для взаимодействия с wifi-cab в качестве общего примера:

Конфигурация Groups

Сущность group - нужна нам для применения к пользователям общих политик, например атрибутов.
Создадим группу для взаимодействия с wifi-cab в качестве общего примера:

Атрибуты для приложений могут различаться, поэтому при создании групп берите информацию согласно таблице атрибутов.

Таблица атрибутов, используемых SoftWLC

Возможные проблемы при настройке

Авторизация в keycloak проходит, а в EMS нет (Ошибка - пользователя не существует).

Встречалась при первоначальной настройке.

Проблема заключается в том, что в токене не приходит роль пользователя.

Необходимо пересоздать маппер Eltex-EMS-Role

HTTPS required

Что бы не было проблемы "HTTPS required" надо в реалме указывать в настройке "Require SSL" None. По умолчанию стоит "External requests".