Seminar Keycloak – Administration, Single Sign-on und Föderation

Seminarbeschreibung

Keycloak stellt eine zentrale Plattform für die Anmeldung an unterschiedlichen Anwendungen bereit. Eine verlässliche Einführung erfordert jedoch mehr als das Anlegen eines Clients: Realm-Struktur, Benutzerquelle, Rollenmodell, Sitzungen und administrative Rechte müssen zusammenpassen. Das Seminar entwickelt diese Grundlagen an einer eigenen Übungsumgebung. Eine Webanwendung, eine API und ein vorhandenes Benutzerverzeichnis bilden die Referenz für die Konfiguration.

Die Arbeit verbindet die Administrationsoberfläche mit wiederholbaren Verwaltungsaufgaben über die bereitgestellten Werkzeuge. Konfigurationsentscheidungen werden durch funktionierende Anmeldung, korrekte Attributübertragung und bewusst abgewiesene Zugriffe geprüft. Föderation und Identity Brokering werden getrennt behandelt. Beim Einbinden vorhandener Identitäten stehen eindeutige Zuordnung, kontrollierte Schreibrechte und der Schutz vor unbeabsichtigter Kontoverknüpfung im Vordergrund.

Seminarinhalte

Inhaltsübersicht:

1. Installation und grundlegende Systemkonfiguration
2. Benutzer, Gruppen und Rollen
3. Clients und Single Sign-on
4. Verzeichnisanbindung und Identity Brokering
5. Anmeldeabläufe und Mehrfaktorauthentifizierung
6. Verwaltung, Diagnose und Konfigurationsabnahme

1. Installation und grundlegende Systemkonfiguration

• Keycloak und Datenbank in einer vorbereiteten Infrastruktur installieren und einen kontrollierten administrativen Erstzugang einrichten.
• Hostname, TLS-Vertrauen und Verbindungen zu Testanwendungen prüfen und Entwicklungsbetrieb von einer belastbaren Betriebsgrundlage unterscheiden.
• Realms, Administrationsoberfläche, Account Console und relevante Verwaltungswerkzeuge kennenlernen.

2. Benutzer, Gruppen und Rollen

• Eine Realm-Struktur für das Beispielszenario entwerfen und Benutzer, Gruppen sowie anwendungsspezifische Rollen anlegen.
• Realm-Rollen, Client-Rollen und zusammengesetzte Rollen am tatsächlich benötigten Zugriff unterscheiden.
• Administrative Berechtigungen begrenzen und wiederkehrende Änderungen mit Administrations-CLI oder REST-Schnittstelle durchführen.

3. Clients und Single Sign-on

• OIDC-Clients mit passenden Redirect-Adressen, Client-Authentifizierung und Scopes einrichten.
• Attribute und Rollen über kontrollierte Mapper bereitstellen und an Anwendung sowie API prüfen.
• Zwei Anwendungen in einen SSO-Ablauf einbinden und lokale Anwendungssitzungen von der zentralen Sitzung unterscheiden.

4. Verzeichnisanbindung und Identity Brokering

• Ein LDAP-Verzeichnis mit geeigneten Suchbasen, Bind-Rechten und gesichertem Transport anbinden.
• Attribut- und Gruppenzuordnung, Synchronisation, Importverhalten und Zuständigkeit für Kennwortänderungen untersuchen.
• Einen weiteren Identity Provider einbinden und Kontozuordnung sowie First-Login-Ablauf kontrolliert konfigurieren.

5. Anmeldeabläufe und Mehrfaktorauthentifizierung

• Authentication Flows, Required Actions und Kennwortrichtlinien anhand abgestufter Anforderungen konfigurieren.
• TOTP und einen geeigneten WebAuthn-Anmeldeablauf einrichten und Registrierung sowie Wiederanmeldung testen.
• Kontosperre, Sitzungsverwaltung, Wiederherstellung und abgesicherte administrative Ersatzverfahren bearbeiten.

6. Verwaltung, Diagnose und Konfigurationsabnahme

• Benutzer- und Administrationsereignisse gezielt auswerten und unnötige Ausgabe sensibler Daten vermeiden.
• Typische Fehler bei Redirects, Rollen, Zertifikatsvertrauen und LDAP-Suche systematisch eingrenzen.
• Die Referenzkonfiguration mit einer Abnahmematrix prüfen und dokumentierbare Änderungen über Verwaltungswerkzeuge wiederholen.

Praxisübungen

1. Keycloak mit Datenbank starten, den administrativen Zugang absichern und einen Schulungs-Realm anlegen.
2. Testgruppen und Client-Rollen erstellen und zwei Benutzer mit unterschiedlichen Rechten zuordnen.
3. Eine Webanwendung und eine API anbinden und die übermittelten Identitäts- und Berechtigungsmerkmale prüfen.
4. Das Testverzeichnis anbinden und einen Benutzer ohne doppelte manuelle Kontopflege anmelden.
5. MFA aktivieren, ein zweites Anmeldemittel registrieren und einen kontrollierten Verlustfall bearbeiten.
6. Einen vorbereiteten Integrationsfehler anhand der Ereignisse erkennen und die Korrektur durch einen Negativtest absichern.

Einordnung und Vertiefung

Der Kurs behandelt die Administration einer eigenständigen Referenzumgebung. Clusterbetrieb, größere Migrationen, tiefgehende Java-Erweiterungen und vollständige Wiederanlaufverfahren gehören in weiterführende Seminare.

Seminarangebot und Lernpfade