Tool-Tipp 34 Keycloak Zentrale Verwaltung von Identitäten und Rollen mit Open Source

Anbieter zum Thema

FAST LTA GmbH

Keycloak ist eine Open-Source-IAM-Lösung. Durch die zentrale Verwaltung von Identitäten und Rollen lassen sich Benutzer effizient steuern und Zugriffsrechte dynamisch auf mehrere Anwendungen anwenden. Benutzer können sich mit einem zentralen Login bei Keycloak an mehreren anderen Diensten in SSO-Szenarien anmelden. Wir zeigen in diesem Tool-Tipp die ersten Schritte von Installation und Setup.

Keycloak ist eine Open-Source-Lösung zur Verwaltung von Identitäten und Zugriffsrechten, die auf den Einsatz in modernen Anwendungen und Microservices ausgerichtet ist. Sie bietet eine Vielzahl an Funktionen für Single Sign-On (SSO), Identity Federation, Authentifizierung und Autorisierung. Unternehmen nutzen Keycloak, um Sicherheitsprozesse für Applikationen zu vereinfachen und zu standardisieren, ohne proprietäre Lösungen integrieren zu müssen. Zum Einsatz kommt Keycloak zum Beispiel auch häufig zusammen mit Nextcloud, um Authentifizierung und Rollenverwaltung zu vereinfachen und zu verbessern. Dadurch können Admins nicht nur zentral die Benutzerkonten steuern, sondern auch deren Rechte über mehrere Dienste hinweg. Durch das zentrale Rollenmodell lassen sich zum Beispiel die Rollen in Keycloak anlegen und automatisch auf die angebundenen Dienste verteilen.

In diesem Tool-Tipp-Video und der Bildergalerie zeigen wir die Installation, Einrichtung und ersten Schritte von Keycloak.

Bildergalerie

Bildergalerie mit 6 Bildern

Keycloak zur Implementierung von SSO nutzen

Keycloak bietet eine umfassende Single-Sign-On-Lösung, die es ermöglicht, dass sich Benutzer nur einmal authentifizieren und anschließend auf mehrere Anwendungen zugreifen können, ohne sich erneut anmelden zu müssen. Dies reduziert die Notwendigkeit, dass Anwendungen eigene Login-Formulare, Benutzerverwaltung und Authentifizierungsmechanismen implementieren. Der Single-Sign-Out-Prozess sorgt dafür, dass sich Benutzer mit einem einzigen Logout aus allen Anwendungen, die Keycloak nutzen, abmelden können. Außerdem können Benutzer ihr Kennwort zentral in Keycloak für alle angebundenen Dienste zentral ändern.

Darüber hinaus unterstützt Keycloak Identity Brokering und Social Login, wodurch die Anmeldung über soziale Netzwerke oder externe Identity Provider wie OpenID Connect und SAML 2.0 über die Admin-Konsole konfiguriert werden kann, ohne Änderungen am Code der Anwendungen vorzunehmen. Keycloak kann zudem Benutzer aus bestehenden LDAP- oder Active Directory-Domänencontroller integrieren und bietet über die Admin-Konsole die Möglichkeit, Identitätsanbieter und Benutzereinstellungen zu verwalten. Die Benutzer selbst haben über die Account-Management-Konsole Zugriff auf ihre Profile, können Passwörter ändern, Zwei-Faktor-Authentifizierung einrichten und Sitzungen verwalten. Keycloak basiert auf Standardprotokollen wie OpenID Connect, OAuth 2.0 und SAML, was die nahtlose Integration in bestehende Systeme vereinfacht. Zusätzlich bietet Keycloak feingranulare Autorisierungsdienste, die es ermöglichen, detaillierte Berechtigungspolicies für verschiedene Anwendungen zentral zu steuern.

Das Ringen um Sicherheit

Open-Source- oder proprietäre Software?

Architektur und Aufbau von Keycloak

Keycloak basiert auf Java und ist stark modularisiert, was es einfach macht, die Lösung in bestehende Infrastrukturen zu integrieren. Es gibt drei zentrale Komponenten:

• Identity Broker: Dieser ermöglicht die Integration externer Identitätsanbieter wie Google, Facebook oder unternehmensspezifische LDAP/Active Directory-Domänencontroller. Über den Broker können sich Nutzer mit ihren bestehenden Identitäten bei verschiedenen Anwendungen authentifizieren.

• Authentication and Authorization: Keycloak stellt sowohl Standard- als auch adaptive Authentifizierungsmechanismen zur Verfügung, die es ermöglichen, Richtlinien zur Zugriffskontrolle basierend auf Benutzerrollen, Gruppen oder dynamischen Attributen festzulegen. Der Zugriff auf Ressourcen wird über das OAuth 2.0 Protokoll geregelt, während OIDC zur Authentifizierung von Benutzern dient.

• Admin-Konsole: Die Keycloak Admin-Konsole bietet eine webbasierte Oberfläche zur Verwaltung von Benutzern, Clients, Rollen, Ressourcen und Identitätsprovidern. Über die Konsole können Administratoren detaillierte Sicherheitsrichtlinien für jede Anwendung definieren und konfigurieren.

In diesem Tool-Tipp-Video und der Bildergalerie zeigen wir die Installation, Einrichtung und ersten Schritte von Keycloak.

Bildergalerie

Bildergalerie mit 6 Bildern

Integration und Anpassung von Keycloak

Einer der größten Vorteile von Keycloak ist seine hohe Integrationsfähigkeit. Keycloak kann nahtlos in verschiedene Frameworks und Plattformen integriert werden. Die Bereitstellung erfolgt in der Regel in Form von Containern, meist mit Docker oder Kubernetes. Dies macht es einfach, Keycloak in moderne DevOps-Umgebungen zu integrieren.

Keycloak bietet ein umfassendes Role-Based Access Control (RBAC) System, das nicht nur auf Anwendungsebene, sondern auch auf API- und Ressourcenebene feingranulare Zugriffssteuerungen erlaubt. Entwickler können Keycloak auch erweitern, indem sie benutzerdefinierte Authentifizierungs- und Autorisierungsflows erstellen, etwa durch das Einbinden eigener REST-Schnittstellen.

Ein weiteres zentrales Feature ist Identity Federation, das ermöglicht, Benutzer aus unterschiedlichen Quellen zu aggregieren, ohne deren Identitätsdaten physisch zu verschieben. So können beispielsweise Benutzerkonten aus einem Active Directory oder LDAP-Server in Keycloak abgebildet werden, ohne diese in der Datenbank von Keycloak zu replizieren.

Backup- & Disaster-Recovery-Lösungen zum Nulltarif

Open-Source-Software zur Datensicherung

Sicherheitsfunktionen und Anpassbarkeit

Die Security-Funktionen von Keycloak sind darauf ausgelegt, moderne Sicherheitsanforderungen in verteilten Umgebungen abzudecken. Dazu gehören Multi-Faktor-Authentifizierung (MFA), Passwort-Richtlinien, Session Management und Audit-Logs. Die Integration von MFA ist flexibel, so lassen sich beispielsweise OTP (One Time Passwords) oder Hardware-Token wie FIDO2 einsetzen.

Keycloak unterstützt darüber hinaus feingranulare Richtlinien zur Autorisierung von Zugriffen. Diese werden über das Authorization Services Modul konfiguriert, das es ermöglicht, Ressourcen wie APIs, Endpunkte oder Datenbankeinträge spezifischen Nutzern oder Rollen zuzuweisen. Entwickler können hierzu auch eine zentralisierte Policy Engine verwenden, die Zugriff basierend auf Attributen, Kontexten oder Benutzerrollen dynamisch vergibt.

Für besonders kritische Anwendungen ist die Möglichkeit der Mandantenfähigkeit (Multitenancy) interessant, da mehrere unabhängige Instanzen von Keycloak für verschiedene Kunden oder Geschäftseinheiten auf einer gemeinsamen Infrastruktur betrieben werden können.

In diesem Tool-Tipp-Video und der Bildergalerie zeigen wir die Installation, Einrichtung und ersten Schritte von Keycloak.

Bildergalerie

Bildergalerie mit 6 Bildern

Die Skalierbarkeit von Keycloak ist ein zentrales Merkmal. In containerisierten Umgebungen lässt sich Keycloak horizontal skalieren, um den Anforderungen von Unternehmen mit tausenden von Nutzern und hunderten von Anwendungen gerecht zu werden. Keycloak unterstützt Cluster-Umgebungen, bei denen mehrere Keycloak-Instanzen in einem Verbund laufen, um Lastspitzen abzufangen und Hochverfügbarkeit sicherzustellen. Durch die Verwendung von In-Memory-Datenbanken wie Infinispan kann Keycloak Sessions effizient verwalten und verteilen.

Erweiterbarkeit durch benutzerdefinierte SPI und eigene Erweiterungen

Ein weiteres Merkmal von Keycloak ist die Möglichkeit, über das Service Provider Interface (SPI) eigene Erweiterungen und Anpassungen vorzunehmen. Das SPI-Framework ermöglicht Entwicklern, an verschiedenen Stellen der Keycloak-Architektur anzusetzen und spezifische Logiken zu implementieren, ohne die Kernfunktionalität zu verändern. Es gibt unterschiedliche SPIs für verschiedene Funktionen, etwa zur Authentifizierung, Autorisierung, Speicherung und zur Verwaltung von Events.

Ein gängiges Anwendungsbeispiel für das SPI ist die Anpassung des Authentifizierungs­prozesses, indem eigene Authenticator-Klassen entwickelt und in Keycloak integriert werden. So lässt sich eine benutzerdefinierte Authentifizierungsmethode implementieren, die auf firmenspezifischen Anforderungen basiert, etwa die Verknüpfung mit proprietären Sicherheitstoken oder die Integration von firmeneigenen Datenquellen zur Verifizierung von Nutzern.

Webanwendungen analysieren und Sicherheitslücken schließen

Burp Suite für Penetrations­tests nutzen

Auch die Implementierung von eigenen Protokoll-Providern ist durch das SPI möglich. Dies erlaubt es, zusätzliche Authentifizierungs- und Autorisierungsprotokolle zu unterstützen, die nicht nativ in Keycloak vorhanden sind. Zusätzlich können Event-Listener hinzugefügt werden, um spezifische Aktionen wie das Logging, Auditing oder die Integration in externe Systeme auszuführen, wenn bestimmte Ereignisse wie Login-Versuche oder Passwortänderungen auftreten.

Die Erweiterbarkeit wird weiterhin durch die Möglichkeit, eigene Themes zu erstellen, ergänzt. Dadurch können Unternehmen die Benutzeroberflächen für Anmelde-, Registrierungs- und Accountverwaltungsseiten vollständig an ihre Corporate Identity anpassen. Themes erlauben dabei nicht nur kosmetische Änderungen, sondern auch die Anpassung von Templates und Formularen, um spezifische Daten oder Interaktionen zu ermöglichen.

In diesem Tool-Tipp-Video und der Bildergalerie zeigen wir die Installation, Einrichtung und ersten Schritte von Keycloak.

Bildergalerie

Bildergalerie mit 6 Bildern

(ID:50201230)