Keycloak建立HTTPS通道及 TLS / X.509 认证

九术沫

已于 2022-06-17 10:46:21 修改

阅读量5.7k

点赞数 24

分类专栏： keycloak 文章标签： keycloak openssl x509 https keytool

于 2021-11-17 23:19:07 首次发布

本文链接：https://blog.csdn.net/qq_43549604/article/details/121385957

版权

keycloak 专栏收录该内容

3 篇文章 3 订阅

订阅专栏

环境

Windows 10
keycloak 10.0.1
openssl 1.1.0i 14 Aug 2018
jdk 8.0
standalone模式
IE 浏览器
上面这些只是说明本文的测试环境，可自行搭配，问题不大

准备证书及密钥库

建议整个创建过程在一个空的文件中进行，创建完所有需要的证书再拿出去使用

tip: 先创建一个server.ext文件到文件夹中，所有的密码都设置为changeit，防止忘记

server.ext

authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
subjectAltName = @alt_names
[alt_names]
DNS.1 = server

创建根证书 rootCA
openssl req -x509 -sha256 -days 3650 -newkey rsa:4096 -keyout rootCA.key -out rootCA.crt
将根证书放入truststore.jks 密钥库中
keytool -import -keystore truststore.jks -file rootCA.crt -alias root
创建服务器证书
openssl req -new -newkey rsa:4096 -keyout server.key -out server.csr -nodes
使用根证书对服务器证书进行签署
openssl x509 -req -CA rootCA.crt -CAkey rootCA.key -in server.csr -out server.crt -days 365 -CAcreateserial -extfile server.ext
将server.key和server.crt合并放入一个keystore中
openssl pkcs12 -export -out server.jks -name "server" -inkey server.key -in server.crt
创建一个用户证书alice
openssl req -new -newkey rsa:4096 -nodes -keyout alice.key -out alice.csr
记住 Common Name 和 Email Address两个信息
使用rootCA对alice证书进行签署
openssl x509 -req -CA rootCA.crt -CAkey rootCA.key -in alice.csr -out alice.crt -days 365 -CAcreateserial
将alice.key和alice.crt合并存入一个keystore中
openssl pkcs12 -export -out alice.p12 -name "alice" -inkey alice.key -in alice.crt
所有操作完毕后文件夹中的所有文件

https通道的建立

为保证安全性，证书需要在安全的通道上去传输，所以在使用证书登录之前，需要建立安全的访问通道，https
启动standalone服务器
F:\zhibe\keycloak-LoginWithCert\keycloak-10.0.1\bin>standalone
访问 http://localhost:8080/auth 并登录
在这里插入图片描述

项目启动正常
接着访问 https://localhost:8443/auth

在这里插入图片描述

开始配置

将rootCA证书导入浏览器
将server.jks导入standalone服务器

到\standalone\configuration目录下修改standalone.properties及standalone-ha.properties文件

<security-realms>
...
	<security-realm name="ssl-realm">
		     <server-identities>
		            <ssl>
		                <keystore path="server.jks"
		                          relative-to="jboss.server.config.dir"
		                          keystore-password="changit"/>
		            </ssl>
		        </server-identities>
		       ...
	</security-realm>
...
</security-realms>
....
<server name="default-server">
	 ...
	         <!-- <https-listener name="https" socket-binding="https" security-realm="ApplicationRealm" enable-http2="true"/> -->
	         <https-listener name="https" socket-binding="https" security-realm="ssl-realm" verify-client="REQUESTED" enable-http2="true"/>
	         <host name="default-host" alias="localhost">
					....
				 <!--<http-invoker security-realm="ApplicationRealm"/>-->
	             <http-invoker security-realm="ssl-realm"/>
	         </host>
</server>
.....

将server.jks放到\standalone\configuration目录下

重启服务器
F:\zhibe\keycloak-LoginWithCert\keycloak-10.0.1\bin>standalone
访问 http://localhost:8080/auth 并登录

启动正常
接着访问 https://localhost:8443/auth 并登录

点击右上方的锁logo,查看证书信息

登录正常
https通道建立成功

证书登录

keycloak服务器设置
1. 创建一个realm
2. 创建一个flow
  
  删除没必要的认证类型后
  
  点击Add execution选择X509/Validate Username Form

将X509/Validate Username Form 往上移动一格，点选 ALTERNATIVE
在这里插入图片描述
点击action点进config

点击保存

点击Bindings菜单
在这里插入图片描述
修改Browser Flow 的选择

点击保存
3. 创建一个用户

点击保存

将truststore.jks导入服务器

到\standalone\configuration目录下修改standalone.properties及standalone-ha.properties文件

<security-realm name="ssl-realm">
      ...
        <authentication>
            <truststore path="truststore.jks"
                        relative-to="jboss.server.config.dir"
                        keystore-password="changeit"/>
        </authentication>
</security-realm>

将truststore.jks放到\standalone\configuration目录下

将alice.p12导入浏览器
重启服务器
F:\zhibe\keycloak-LoginWithCert\keycloak-10.0.1\bin>standalone
访问 http://localhost:8080/auth 并登录

启动正常
接着访问 https://localhost:8443/auth 并登录

点击右上方的锁logo,查看证书信息

登录正常
到x509realm中在clients菜单中点击https://localhost:8443/auth/realms/x509/account/

证书登入成功