如何添加Key Cloak的OpenID Connect客户端并使用签名JWT进行身份验证

目录

1. 🌟添加Key Cloak的OpenID Connect客户端
   • 1.1 选择Realm和创建客户端
   • 1.2 配置初始设置
   • 1.3 配置访问类型和OAuth流程
   • 1.4 设置Token的作用域
   • 1.5 配置客户端认证方式
   • 1.6 生成签名JWT所需的密钥材料
2. 🚀使用签名JWT进行客户端身份验证
   • 2.1 从Key Cloak获取公钥
   • 2.2 提取私钥并转为PEM格式
   • 2.3 配置Stigma Watcher以使用密钥材料
3. 🤔常见问题及解答

🌟添加Key Cloak的OpenID Connect客户端

Key Cloak是一个开源的身份和访问管理解决方案，通过添加OpenID Connect客户端，可以实现基于签名JWT的客户端身份验证。以下是一步一步的配置过程：

1.1 选择Realm和创建客户端

首先，访问Key Cloak的管理控制台，并选择对应的Realm。在Realm中，选择"客户端"并点击"创建"按钮。为客户端设置一个有意义的客户端ID，并确保客户端协议选择为OpenID Connect。

1.2 配置初始设置

保存后，我们进入了客户端的初始设置界面。将访问类型设置为"机密"，这将启用一些相关功能。关闭允许用户认证的OAuth流程，打开启用服务账户的OAuth流程（在OAuth2规范中称为客户端凭据授权）。

1.3 配置访问类型和OAuth流程

向下滚动页面，确保选择保存。保存后，我们将看到一个名为"凭据设置"的标签页可用，稍后我们将访问这个标签页。在访问类型为"机密"时，才会出现这个标签页。

1.4 设置Token的作用域

我们需要确保向此客户端发行的Token具有我们所需的作用域（Scope）。具体取决于客户端要执行的操作。对于Stigma和Watcher，我们将添加这两个作用域。同时，我们还需要确保Token中包含角色声明（Roles Claim）。

1.5 配置客户端认证方式

如果我们只想使用客户端ID和密钥进行认证，那现在我们已经完成了配置。客户端密钥就是"凭据设置"页面上的"客户端密钥"。你可以随时重新生成密钥。

1.6 生成签名JWT所需的密钥材料

然而，我们希望使用公钥加密技术来进行身份验证，这意味着Key Cloak需要知道我们的公钥，或者客户端的公钥。我们可以选择导入现有的公钥，或生成新的密钥材料。

让我们生成新的密钥材料，私钥和公钥将被组合成一个存档文件。我们选择将其存储为PKCS12格式的存档文件，因为它比Java Key Set更广泛地支持。

需要提供一个密钥密码和一个存储密码，尽管实际上只有存储密码似乎适用于Key Cloak。

生成完毕后，我们有一个机会将此PKCS12存档文件保存到磁盘中。Key Cloak将保留公钥，以X509证书的形式存储。私钥则被封装在PKCS12文件中。大多数客户端（例如Stigma Watcher）希望获得PEM编码的私钥而不是PKCS12存档文件。

为了解决这个问题，我们可以使用类似OpenSSL的工具从PKCS12存档文件中提取私钥。

🚀使用签名JWT进行客户端身份验证

签名JWT可用于通过公钥加密技术对客户端进行身份验证。下面是使用Key Cloak生成的密钥材料进行客户端身份验证的步骤：

2.1 从Key Cloak获取公钥

我们首先需要从Key Cloak获取公钥。Key Cloak保留了我们生成的公钥，并以X509证书的形式提供。这个公钥将在配置Stigma Watcher时使用。

2.2 提取私钥并转为PEM格式

为了使用Stigma Watcher进行身份验证，我们需要将私钥转换为PEM格式。我们可以使用像OpenSSL这样的工具从PKCS12存档文件中提取私钥。

命令示例：openssl pkcs12 -in <pkcs12文件> -nokeys -out <私钥文件>

2.3 配置Stigma Watcher以使用密钥材料

现在，我们已经在Key Cloak配置了客户端，并生成了所需的密钥材料。接下来，我们需要配置Stigma Watcher以使用这些密钥材料进行客户端身份验证。有关详细配置步骤，请参考其他视频教程。

🤔常见问题及解答

问：如何在Key Cloak中创建OpenID Connect客户端？ 答：在Key Cloak的管理控制台中，选择对应的Realm，然后选择"客户端"并点击"创建"按钮。设置一个有意义的客户端ID，并确保客户端协议选择为OpenID Connect。

问：如何配置Stigma Watcher以使用签名JWT进行客户端身份验证？ 答：首先从Key Cloak获取公钥。然后，使用OpenSSL工具从PKCS12文件中提取私钥并转换为PEM格式。最后，按照其他视频教程中的指导配置Stigma Watcher。

问：密钥材料的生成过程中是否有注意事项？ 答：在生成密钥材料过程中，需要提供密钥密码和存储密码。只有存储密码会被Key Cloak实际应用。注意要妥善保存私钥，并在使用时使用合适的加密方式。

问：什么是Token的作用域（Scope）？ 答：Token的作用域决定了客户端在访问资源时拥有的权限。根据客户端的需求，设置不同的作用域可以实现精确的权限控制。

问：为什么需要将私钥转换为PEM格式？ 答：大多数客户端希望获得PEM编码的私钥，而不是PKCS12存档文件。通过将私钥转换为PEM格式，可以方便地在各种客户端中使用。

问：如何正确保管私钥和存储密码？ 答：私钥和存储密码是非常重要的机密信息，建议妥善保管。请将它们存储在安全的地方，并遵循最佳的安全实践。

问：如何重新生成客户端的密钥？ 答：在Key Cloak的管理控制台中，选择对应的Realm和客户端。在"凭据设置"标签页中，可以重新生成客户端的密钥。

请注意，以上是如何添加Key Cloak的OpenID Connect客户端并使用签名JWT进行客户端身份验证的步骤。详细的配置和使用过程可能因具体场景而有所不同。如需更多信息，请参考相关文档和资源。

🔗资源：

• Key Cloak官方文档：https://www.keycloak.org/documentation.html
• Stigma Watcher官方网站：https://www.stigmawatcher.com

请注意，本文所述为Key Cloak和Stigma Watcher的基本配置步骤，具体操作请参考各自的官方文档和资源。