Опыт внедрения и работы с Keycloak

• Участники знакомятся с организаторами и темой вебинара.  

• Презентация о том, что такое оди си и клок, и как это работает.  

• Обсуждение важности делегирования безопасности и причин для этого.  

• Примеры того, что приходится делать при самостоятельной реализации безопасности.  

• Преимущества делегирования безопасности внешнему централизованному решению.  

• В видео обсуждаются стандарты для передачи данных, такие как TFA, TFA, и TFA.  

• TFA является наиболее популярным и используется в KeePass.  

• TFA поддерживает симметричную подпись и используется в основном Microsoft.  

• TFA 2.0 является сложным стандартом, но имеет хорошую документацию и активное сообщество.  

• KeePass позволяет авторизовать пользователей в едином месте, проверять их подлинность и выдавать им токены для доступа к различным службам приложения.  

• Пользователи могут быть сохранены в базе данных KeePass или через пользовательские фитинги.  

• KeePass также поддерживает внешние идентификаторы, такие как AD, LDAP и OAuth.  

• Кейклок имеет функционал регистрации и авторизации пользователей, возможность изменения внешнего вида, поддержку тем и адаптивной верстки.  

• Кейклок может быть интегрирован с другими системами, такими как Мотормост, для бесплатной авторизации через протокол ОПА-ОПА Коннект.  

• Вопрос о визуальном конструкторе для формы авторизации в Кейклоке.  

• Ответ: Кейклок не имеет визуального конструктора, тимплейтинг делается на языке Apache Freemaker.  

• Вопрос о добавлении клиентов в Кейклок из базы данных CRM системы.  

• Ответ: можно использовать опыт сервер или ниже федерейшн для экспорта пользователей из базы данных CRM.  

• Вопрос о преимуществах и недостатках Орестек по сравнению с Кейклок.  

• Ответ: не использовал Орестек, поэтому не может дать ответ.  

• Вопрос о возможности создания групп клиентов с определенными правами.  

• Ответ: возможно, вопрос задан некорректно, уточните его.  

• Кей-клок - это система, которая позволяет пользователям авторизоваться и взаимодействовать с различными системами.  

• Кей-клок может разрушать токины, когда пользователи выходят из системы.  

• Кей-клок может быть использован для синхронизации данных между различными системами.  

• Кей-клок может синхронизировать данные с внешними системами, такими как CRM.  

• Кей-клок может дублировать пользователей в своей базе данных для быстрого ответа пользователя.  

• Кей-клок может использовать балансировщик для масштабирования при увеличении количества пользователей.  

• Сергей, представитель группы компаний "Икс пять", рассказывает о платформе для разработки и продуктах компании.  

• В компании "Икс-пять" занимаются продажей помидоров в магазинах, и для этого требуется автоматизация многих процессов.  

• Продукты компании основаны на микросервисной архитектуре, контейнерах, инфраструктуре и других современных технологиях.  

• Компания ищет новых специалистов в различных областях, включая разработку, тестирование, анализ и другие.  

• Если вы заинтересованы в работе в "Икс-пять", можете оставить заявку на сайте компании.  

• "Кейклок" - это инструмент для объединения сервисов компании в единую экосистему.  

• Он позволяет упростить процесс внедрения и сократить время разработки.  

• В видео демонстрируется настройка "Кейклока" и его использование в различных проектах.  

• В приложении на разных языках программирования или в сервисе, токены проверяются и выпускаются, если они истекли или протухли.  

• Если токена нет, пользователь перенаправляется на страницу входа.  

• Исходный проект "Гайд Кипер" закрыт, но переродился в "Гоуга и Кипер", который поддерживается и живет.  

• "Гайд Кипер" позволяет реализовать кей-клок, обменивать токены, рефрешить токены и извлекать произвольные поля из токена.  

• Существует три уровня микросервисов: джинкс, апи бэк энд и бэк-бэк энд.  

• "Гайд Кипер" стоит поверх пода и проверяет токены, редиректит на кей-клок для аутентификации и возвращает токены в браузер.  

• "Кей Клок" выдает временный токен для аутентификации и подселяет его в браузер.  

• В видео объясняется, как работает авторизация и авторизация в системе, где пользователь может переходить между порталами, не проходя авторизацию каждый раз.  

• Для этого используются гайкиперы, которые могут работать как в режиме форвардинга, так и в режиме авторизации.  

• В примере аналитического портала, гайкиперы используются для идентификации пользователя и передачи его прав доступа к различным сервисам.  

• Авторизация и авторизация реализуются на уровне групп, которые могут быть назначены через интерфейсы кей клока или опеки клока.  

• В видео обсуждаются настройки гайкиперов и их использование в различных сервисах.  

• Вайт-лист позволяет отдавать некоторые ресурсы без авторизации, но при обращении к правам доступа, гайкипер отвечает 302 кодом и редиректит на получение токинов.  

• В системе используются два гайкипера: один на входе и один на выходе.  

• В некоторых сервисах используется только один гайкипер.  

• Настройка базового клиента и доверительных отношений между кей клок и клайтами.  

• Создание маперов и добавление клайтов в маперы.  

• Реализация авторизации через смс сообщения на одном из продуктов.  

• Использование кастомных плагинов для реализации.  

• Создание пользователей через апи кей клока.  

• Использование готовых плагинов для упрощения процесса.  

• В кей клоке есть реализация актив директора, которая реализует некоторые функции кей клока, но с меньшими возможностями.  

• В кей клоке можно строить кастомные поля для пользователей, но это не входит в стандартную комплектацию.  

• Для миграции данных из одной системы в другую можно использовать сторонние сервисы.  

• Кей клок имеет встроенные средства для предотвращения брут форса, такие как просмотр количества неудачных попыток входа, настройка времени между попытками и блокировка пользователя.  

• Данные о попытках входа хранятся в кэше в инфини пенни, который не реплицируется между репликами.  

• Большинство участников хотят пройти видеокурс по кей клоку, но некоторые не уверены.  

• Цена курса составляет 10 000 рублей, но если наберется 50 заявок, то цена снизится до 2500 рублей.  

• Участники хотят узнать больше о кастомном юзер федерейшн, масштабировании, модулях на джава, плагинах нло джава, низкоуровневом понимании как работает оди си, редиректах, ссо и интеграции между микросервисами.  

• Участники обсуждают свои действия во время перерыва, включая чай, лежание на полу и зевание.  

• Некоторые участники отвечают на вопрос о состоянии, описывая его как "спать".  

• Виктор представляет доклад о кейклоке, сервисе авторизации, который они используют в своей работе.  

• Он рассказывает о том, как они начали использовать кейклок, как они его поддерживают и как он работает.  

• Виктор также обсуждает некоторые технические детали, такие как конфигурация кейклока и использование DNS-спинка.  

• Он подчеркивает, что важно использовать стики для балансировки нагрузки, чтобы сессии не терялись.  

• Обсуждение использования кастомных маперов и документации для клиентов.  

• Упоминается использование официального антиблового модуля для хранения конфигураций клиентов.  

• Обсуждение использования плагина для мониторинга и сбора метрик из коробки.  

• Упоминание использования плагина для создания бортов и визуализации метрик.  

• Обсуждение использования бенчмарков для тестирования производительности.  

• Упоминание использования кастомных плагинов для создания базы тестирования.  

• Упоминаются результаты тестирования производительности на стенде с тремя клоками.  

• Упоминаются цифры в 70 регистраций в секунду, 6 запросов на регистрацию, 420 рпс, 110 авторизаций в секунду и 500 токинов в секунду.  

• Упоминается, что эти цифры могут быть впечатляющими для небольших проектов, но для крупных проектов может потребоваться серьезная экспертиза.  

• Кейклок - это продукт, который планируется использовать для миграции на новый сервер.  

• Кейклок имеет некоторые планы на будущее, включая выпуск продукта и переход на более производительный сервер.  

• В Кейклоке можно давать пользователям разные права на управление, включая создание клиентов и просмотр информации о пользователях.  

• База данных Кейклока использует PostgreSQL, и на данный момент ее размер составляет около 9,5 ГБ.  

• В Кейклоке используется прокси-сервер для авторизации пользователей, и рекомендуется использовать гейт кипер для этого.  

• Гейт кипер позволяет прикрутить авторизацию к любому приложению за 15 минут, и имеет встроенный функционал для проверки токенов и настройки доступа по полям.  

• Выбор между гейт кипером и другими прокси-серверами зависит от архитектуры и требований конкретного продукта.  

• Обсуждение планов по работе с инфинитом, его выносу из контейнеров кейклока и настройке мониторинга.  

• Задача подружить кейкок и керберас для упрощения работы с авторизацией.  

• Планы по масштабированию кейклока до 50 миллионов пользователей.  

• Обсуждение нагрузочного тестирования и подготовки системы к таким масштабам.  

• Обсуждение лампового чата в телеге, где собираются специалисты для обсуждения кейклока.  

• Приглашение к участию в чате и заполнению формы обратной связи.  

• В видео обсуждаются различные способы авторизации и использования токенов в кей клоук.  

• Упоминается, что токены могут передаваться как куки или биро-токены, и что они могут быть использованы для разных целей.  

• В видео обсуждается выбор базы данных для кей клоук, и упоминается, что они используют Postgres.  

• Упоминается, что можно использовать кастомный плагин для авторизации, но рекомендуется использовать его только в случае крайней необходимости.  

• В видео объясняется, что токин пользователя может быть связан с токином, который используется для обращения к бэк-сервису второго уровня.  

• Упоминается, что токин может быть выпущен на основании другого токина, но это не обязательно.  

• В видео упоминаются различные источники информации по кей клоук, включая видеокурс от Слер, документацию и статьи на хабре и медиуме.  

• Упоминается, что документация по кей клоук может быть недостаточно подробной, и что для получения более глубокого понимания могут потребоваться эксперименты и общение с сообществом.  

• Keycloak используется для кэширования и проверки токинов, а также для взаимодействия с другими сервисами.  

• Keycloak не имеет отношения к сервису MESH, но может использоваться для взаимодействия с другими сервисами.  

• Keycloak хранит офлайн сессии для пользователей, которые могут быть использованы в течение длительного времени.  

• Keycloak может использоваться для авторизации пользователей, но для этого необходимо хранить информацию о пользователях в базе данных.  

• Keycloak может быть использован в проектах с миллионами пользователей и миллионами бабок на счету.  

• Keycloak может быть использован для хранения рефреш токинов, но для этого необходимо проводить серьезный ресеч.  

• Keycloak имеет аналоги, такие как Adent Server, Hydra, Cisco, DFS и другие.  

• Keycloak может быть использован для хранения базы данных и быкапов.  

• Можно использовать прокси-сервис, такой как Git-Kiper, для аутентификации через прокси-сервер.  

• Если используется прокси-сервис, то можно прикрутить его к прокси-серверу и он будет делать аутентификацию за вас.  

• Если вы хотите самостоятельно создать сервис, который работает по протоколу OIDC, то можно использовать для этого Java-библиотеку.  

• Важно не забывать прописывать в коде дирекшн урл, иначе система становится небезопасной.  

• Кейклок может потребоваться для передачи информации об изменении настроек авторизации и доступа.  

• Кейклок также может использоваться для аутентификации пользователей через прокси-сервис.  

• Редирект на кейклок осуществляется через сервисные инпойнты кейклока.  

• В случае использования кейклока, редирект осуществляется через кейклок клайн, который может быть реализован через текипер, браузер или бэк-энд на Python или Java.  

• В случае использования бэк-энда, права на обращение к сервисам могут быть ограничены с помощью ролей.  

• Можно реализовать проброс клиентского токина через всю цепочку сервисов, но это может быть рискованно и сложно.