Open Source mit professioneller Unterstützung Keycloak: mächtig, aber auch mächtig komplex

Keycloak ist eine ausgereifte Open-Source-Lösung für Identitäts- und Zugriffsmanagement mit Unterstützung für OpenID Connect, OAuth 2.1 und SAML 2.0. Doch die enorme Konfigurationsvielfalt, fehlende Lifecycle-Funktionen und rund zwanzig Updates pro Jahr stellen Unternehmen vor Herausforderungen. Daher empfiehlt sich Commercial Open Source Software, die Open-Source-Freiheit mit professionellem Service verbindet.

Identitäts- und Zugriffsmanagement sind die zentralen Bestandteile einer Cyber­sicher­heits­archi­tek­tur. Mit Keycloak steht Unternehmen hierfür eine ausgereifte und leistungsstarke Open-Source-Lösung bereit, die zentrale Standards wie OpenID Connect, OAuth 2.1 sowie SAML 2.0 unterstützt und sich damit nahtlos in moderne Anwendungslandschaften einfügt. Die Kernfunktionen von Keycloak besteht darin, Sicheres Single-Sign-on zu ermöglichen. Die Software erlaubt die Erstellung von Rollen- und Gruppenmodellen, die Benutzerverwaltung samt Richtlinien für Passwörter und Sessions sowie Identity Brokering für die Einbindung externer Identity Provider von sozialen Logins bis zu Unter­neh­mens­ver­zeich­nis­dien­sten wie LDAP/Active Directory.

Keycloak bietet einen Admin- und einen Benutzer-Selfservice, ein Ereignissystem zur Pro­to­kol­lierung von Anmelde- und Verwaltungsaktionen, ein technisch anspruchsvolles Theme-Modell zur Anpassung der Login-Strecken und eine Erweiterbarkeit über Service Provider Interfaces (SPIs). Die Lösung läuft einwandfrei in modernen Umgebungen wie Containern und stellt einen Operator für Kubernetes zur Verfügung. Um Hochverfügbarkeit und Skalierung zu ermöglichen, unterstützt die Software unter anderem einen Infinispan Cache. In Summe ist Keycloak ein starkes Fundament für Single Sign-on und Authentifizierung in Unternehmen.

Tool-Tipp 34 Keycloak

Zentrale Verwaltung von Identitäten und Rollen mit Open Source

Update- und Lifecycle-Management

Ein produktiver Keycloak-Betrieb steht und fällt mit einem gut geplanten Lebenszyklus. Das Open-Source-Projekt konzentriert sich auf die jeweils aktuelle Version; ältere Releases erhalten meist keine Patches. Daraus folgt, dass Updates direkt installiert und bestehende Installationen aktualisiert, Konfigurationsänderungen und API-Verhaltenswechsel antizipiert und eventuelle Rollbacks vorbereitet werden müssen. Eigenentwicklungen über SPIs sind strikt versions- und zukunftssicher zu gestalten, sonst werden Aktualisierungen verhindert. Teams, die eine disziplinierte Release-Kadenz und Regressionstests etablieren, reduzieren Sicherheitsrisiken und technische Schuld spürbar.

Skalierung und Hochverfügbarkeit

Single Sign-on ist geschäftskritisch und muss daher skalierbar und hochverfügbar sein. In einer Keycloak-Installation wird Infinispan für die Hochverfügbarkeit genutzt. Infinispan bietet einen hochverfügbaren, verteilten In-Memory Key Value Store für Keycloak-spezifische Daten wie User-Sessions, Authentifizierungs-Token, Caches und die Bruteforce Detection. Die Infinispan-Konfiguration für Hochlastszenarien erfordert allerdings Erfahrung mit dem Finetuning. Eine weitere Möglichkeit, die Anzahl der Keycloak-Pods zu skalieren, ist der Einsatz eines Kubernetes Horizontal Pod Autoscalers (HPA). Der HPA skaliert die Anzahl der Keycloak-Pods automatisch basierend auf Metriken wie CPU-Auslastung, um Lastspitzen auszugleichen und Hoch­ver­füg­bar­keit zu sichern. Darüber skaliert Keycloak horizontal und der Infinispan Layer stellt automatisch die Hochverfügbarkeit sicher.

In der Praxis tauchen Stolpersteine vor allem auf, wenn Netzwerk- und Konsistenzverhalten nicht zur eigenen Infrastruktur passen. Insbesondere Lastspitzen mit zeitgleichen Logins, horizontale Skalierung und saubere Cluster-Mitgliedschaften verlangen präzise Planung. So erfordern Konfigurationen für Cache-Replikation und Session-Handling besondere Auf­merk­sam­keit, ergänzt um realitätsnahe Last- und Failover-Tests. Um Datenbank-Back­pressure zu vermeiden, also zu verhindern, dass die Datenbank mit der Last der Anfragen überfordert wird, muss beispielsweise das richtige Caching-Verhalten (z.B. Cache-through vs. Write-behind) konfiguriert werden.

Konfigurationshygiene und sichere Authentifizierungsflüsse

Die Admin-Oberfläche von Keycloak bietet eine enorme Menge an Kon­fi­gu­ra­ti­ons­mög­lich­kei­ten – das ist Stärke und Risiko zugleich. So sind nur echte Keycloak-Spezialisten in der Lage, die Auswirkungen jedes der zahllosen Konfigurationsparameter abzusehen. Unklare oder redundante Einstellungen führen schnell zu Auth-Flows mit unvorhergesehenen Effekten, bis hin zu MFA-Schlupflöchern.

Stabilität entsteht durch wenige, klar definierte und getestete Flows und durch das Prinzip „so wenig wie möglich, so viel wie nötig“. Daum ist eine Reihe von Maßnahmen stark zu empfehlen: Access Tokens und Scopes sollten strikt auf die adressierte Anwendung begrenzt werden und ein Protokoll etabliert werden, nach dem die Zielanwendung die Autorisierung prüft. Wer Risiken in der Praxis senken will, ergänzt eine vorgelagerte Entscheidung und blockiert unberechtigte Zugriffe bereits vor der Token-Ausgabe. Diese klare Verantwortungszuordnung verhindert Überraschungen und erleichtert Audits.

Identitätslebenszyklus automatisieren

Eine entscheidende Funktion von Keycloak ist die Definition und Verwaltung von Rollen und entsprechenden Berechtigungen. Administratoren können im Keycloak-Admin-Interface Rollen erstellen, bearbeiten und löschen. Sie können auch Gruppen definieren, um die Benutzerverwaltung zu vereinfachen. Dafür bietet das System vielfältige Möglichkeiten. So können Admins globale Rollen definieren, die für alle Clients innerhalb eines Realms gelten oder aber Client Roles: Spezifische Rollen, die nur für eine bestimmte Anwendung (Client) innerhalb des Realms relevant sind und eine granularere Kontrolle ermöglichen. Zudem können sie Nutzern ihre jeweiligen Rollen direkt auf individueller Basis zuweisen oder auf Basis ihrer Zugehörigkeit zu einer bestimmten Gruppe. Letzteres vereinfacht die Verwaltung großer Benutzerzahlen erheblich. Darüber hinaus unterstützt Keycloak verschachtelte Rollen. Das heißt, eine Rolle kann aus einer oder mehreren anderen Rollen bestehen. Wenn einem Benutzer die übergeordnete Rolle zugewiesen wird, erhält er automatisch alle darin enthaltenen (zusammengesetzten) Rollen. Auch können Admins Standardrollen definieren, die jedem neuen Benutzer automatisch zugewiesen werden, wenn er einem Realm beitritt.

privacyIDEA Workshop – Teil 4

Keycloak an privacyIDEA anbinden

Auch bei Definition und Verwaltung von Rollen und entsprechender Berechtigungen zeigt sich Keycloak somit als mächtiges Tool. Allerdings fehlen der Software „out of the box“ auch wichtige Funktionen. So fehlen Keycloak von Haus aus erweiterte Lifecycle-Management-Funktionen wie automatisierte Workflows für On- und Offboarding, Genehmigungsprozesse für Rollen­än­de­rung­en, integrierte Rezertifizierung von Zugriffsrechten oder native Integration mit HR-Systemen. Das gilt nicht zuletzt, weil Keycloak keine native SCIM-Schnittstelle bietet. Zwar arbeitet die Keycloak-Community gerade daran, einige der erwähnten Prozesse zu auto­mati­sieren. Die Automatisierung wird aber voraussichtlich nicht vollumfänglich sein, und die Konfiguration erhebliche fachliche Expertise fordern.

Die Standardfunktionen umfassen die Zuweisung und Verwaltung von Rollen und Be­rech­ti­gung­en, jedoch ohne integrierte Logik für Start- und Enddaten. Diese Funktion ist allerdings besonders bei Projekten und dem Zugriff durch externe Partner besonders hilfreich. Selbst bei der Verwaltung von Rollen und Zugriffsrechten der eigenen, dauerhaft beschäftigten Mitarbeiter sind zeitlich begrenzte Rechtevergaben sinnvoll, z.B. bei Urlaubsvertretungen oder zeitlich begrenzten Projekten, bei denen ein Mitarbeiter nur für die Dauer der Abwesenheit eines Kollegen oder des Projektes zusätzliche Berechtigungen benötigt. Kurz gesagt, erlaubt die zeitlich begrenzte Zuweisung von Berechtigungen die Umsetzung des „Need To Know“ Prinzips. Dieses stellt sicher, dass Mitarbeiter stets nur die Berechtigungen haben, die sie gerade benötigen, und nicht solche, die sie vielleicht vor zwei Jahren einmal hatten. Die zeitlich begrenzte Zuweisung von Berechtigungen ist nicht zuletzt relevant, um die Anforderungen der DSGVO zum Umgang mit Mitarbeiterdaten zu erfüllen, z.B. durch Löschung personenbezogener Daten beim Ausscheiden aus dem Unternehmen.

Mit den Keycloak-Bordmitteln lässt sich das „Need To Know“ Prinzip nur unzureichend umsetzen. Es besteht allerdings die Möglichkeit, Keycloak mit Lösungen zu erweitern, mit denen sich die erforderlichen Funktionalitäten realisieren lassen, beispielsweis über eine robuste REST-API. Eine solche Erweiterung bedeutet zusätzliche Komplexität und erfordert das entsprechende Know-how.

NAS als Authentifizierungsdienst mit OAuth oder Keycloak

OAuth auf Synology-NAS einrichten und sicher nutzen

Wichtige „weiche Faktoren“

Vermeintlich „weiche“ Faktoren wir Nutzererlebnis, Branding und Barrierefreiheit spielen für den Erfolg einer Identitäts- und Zugriffsmanagement-Lösung eine oft unterschätzte Rolle. Diese Faktoren sind aber wichtig, um die Akzeptanz der Endanwender zu gewährleisten, ohne die eine Identitäts- und Zugriffsmanagement-Lösung zu Frustrationen führen kann und zu mehr oder weniger offenen Versuchen, Sicherheitsvorkehrungen zu umgehen. Ein wichtiges Element für eine hohe Akzeptanz unter Endanwendern ist die Bereitstellung möglichst einfacher Authentifizierungsmethoden. Hier hat sich die Verwendung von Passkeys als sichere und bequeme Methode etabliert. Diese wird von Keycloak nativ unterstützt, wenn auch die korrekte Konfiguration nicht trivial ist.

Zunächst müssen Administratoren mit dem zugrunde liegende Standard WebAuthn/FIDO2 vertraut sein. Darüber hinaus kann der der Teufel im Detail stecken. So gibt es subtile Unterschiede in der Implementierung zwischen verschiedenen Browsern und Betriebs­sys­te­men. Testläufe auf verschiedenen Geräten sind notwendig, um sicherzustellen, dass die Konfiguration überall funktioniert. Beispielsweise kann die Handhabung von „Cross-Device“ Anmeldungen je nach Kombination der Geräte variieren. Zudem bietet Keycloak mächtige, aber komplexe Authentifizierungsabläufe. Administratoren müssen den Standard-Anmeldeablauf (z.B. den „Browser Flow“) bearbeiten, um die Passkey-Option als alternative oder primäre Methode hinzuzufügen. Das fehlerhafte Ändern dieser Abläufe kann dazu führen, dass sich niemand mehr anmelden kann, bis der Ablauf korrigiert ist.

Während die Unterstützung benutzerfreundlicher Anmeldemethoden wie Passkeys nativ in Keycloak integriert ist, sieht es bei Branding und Barrierefreiheit anders aus. Keycloak stellt „out of the box“ keine einfach zu nutzenden Whitelabel- oder Theming-Funktionen für die Login-Masken bereit. Die Template-Engine von Keycloak erlaubt zwar Anpassungen, jedoch kein Drag-and-Drop oder visuelle Editoren. Das bedeutet, dass zur Theme-Anpassung technisches Know-how und manuelle Template-Programmierung erforderlich sind. Die vorgesehenen An­pas­sungen beschränken sich hauptsächlich auf statische Inhalte wie HTML, CSS und Bilder; komplexe, dynamische UI-Logiken oder interaktive Anpassungen sind nur mit zusätzlicher Plugin-Entwicklung oder Erweiterungen realisierbar. Auch kanalübergreifendes Branding etwa in E-Mails oder SMS ist nicht als Standard in Keycloak vorgesehen. Wenn diese Defizite die User Journey nicht nachhaltig beeinträchtigen sollen, müssen Entwickler und Administratoren viel Zeit aufwenden, um sie über die Integration von Drittlösungen zu beseitigen, die ihrerseits wieder spezifisches Fachwissen erfordert. Ähnliches gilt für die Barrierefreiheit. Keycloak bietet keine barrierefreie Oberfläche und auch keine integrierten Prüfungen wie etwa Farbkontrast-Warnungen oder barrierefrei ausgelegte User Journeys – Screenreader-Support, Accessibility oder WCAG-Konformität sind keine Bestandteile der Keycloak-Standardlösung.

privacyIDEA im Einsatz

So funktioniert MFA mit Open Source

Der rote Faden oder: das Beste aus zwei Welten

Die Feststellung zieht sich wie ein roter Faden durch diesen Text: Keycloak ist ein extrem leistungsstarkes Open-Source-Fundament für Identitäts- und Zugriffsmanagement, dessen Konfiguration sehr herausfordernd und dessen Funktionsumfang ausbaufähig ist. Die Nutzung einer reinen Open-Source-Keycloak-Installation sei daher nur jenen Unternehmen empfohlen, die über große fachliche und zeitliche Ressourcen verfügen, um einen optimalen Betrieb zu gewährleisten.

In den meisten Fällen wird eine Kombination des Besten zweier Welten die optimale Lösung sein: Die Zusammenarbeit mit einem Anbieter von Commercial-Open-Source-Software (COSS). Dieser stattet die Open-Source-Basis mit einer leicht zu bedienenden Benutzeroberfläche aus und ergänzt sie um alle notwendigen Zusatzfunktionen, die beispielsweise erforderlich sind, um DSGVO Konformität zu gewährleisten. Darüber hinaus bietet er professionellen Service und verlässlichen Betrieb mit Hochverfügbarkeitsgarantien. Vor allem kümmert sich ein COSS-Anbieter um die Systempflege und erforderlichen Updates. Bei Keycloak fallen in der Regel rund zwanzig Updates pro Jahr an – allein der Aufwand für Prüfung, Freigabe und Rollout sämtlicher Aktualisierungen beansprucht bereits eine Vollzeitstelle.

Darum gilt für den Unternehmenseinsatz von Keycloak wie für viele andere technische Lösungen: Eigenentwicklung und -systempflege erfordern ausgeprägtes Spezialwissen und Mehraufwand. In den meisten Fällen wird die Kombination von Open-Source-Freiheit und COSS-Zuverlässigkeit die bessere Wahl sein.

Über den Autor: Bastian Ike ist Chief Technology Officer und Mitglied der Geschäftsführung von Bare.ID.

Den Cloud Stack mit Open Source absichern

9 Open-Source-Cloud-Sicherheitstools

(ID:50784756)