Keycloak
Einen vertraulichen OpenID-Connect-Client in einem Keycloak-Realm anlegen, einen Group-Membership-Mapper hinzufügen und ihn für Single Sign-on verbinden.
Costfluent meldet deine Leute über einen Keycloak-Realm per OpenID Connect an. Du legst einen Client im Realm an, und Costfluent vertraut den Adressen der Domains, die du bestätigst.
Bevor du beginnst
- Du brauchst in Costfluent die Organisationsrolle Eigentümer und Administratorzugriff auf den Keycloak-Realm.
- Dein Keycloak-Server ist aus dem Internet per HTTPS erreichbar, damit Costfluent sein Discovery-Dokument und seine Schlüssel lesen kann.
- Die Adressen deiner Leute liegen in einer Domain, für die du einen DNS-TXT-Eintrag veröffentlichen kannst.
Verfügbar im Core-, Optimize- und Scale-Tarif. Tarife vergleichen
Anwendung registrieren
- Lege im Realm einen Client vom Typ OpenID Connect an.
- Schalte die Client-Authentifizierung und den Standard-Flow (Authorization Code) ein.
- Füge den gültigen Weiterleitungs-URI
https://app.costfluent.com/api/auth/sso/callbackhinzu. - Kopiere die Client-ID und aus den Zugangsdaten des Clients das Client-Secret.
Deine Discovery-URL ist https://<keycloak-host>/realms/<realm>/.well-known/openid-configuration.
Gruppen senden
- Öffne den eigenen Client-Scope des Clients und füge einen Mapper vom Typ Group Membership hinzu.
- Nenne seinen Token-Claim
groupsund füge ihn dem ID-Token hinzu. - Entscheide über den vollständigen Gruppenpfad. Ist er eingeschaltet, sendet Keycloak
/engineering/platform, sonstplatform.
Die Gruppe beim Identitätsanbieter, die du in Costfluent zuordnest, ist der Wert genau so, wie der Mapper ihn sendet, mit dem führenden Schrägstrich, wenn der vollständige Pfad eingeschaltet ist.
Bei Benutzern, die in Keycloak importiert wurden, ist die E-Mail-Adresse oft als nicht bestätigt markiert. Sie melden sich trotzdem an, solange ihre Adresse in einer Domain liegt, die die Verbindung bestätigt hat.
In Costfluent verbinden
- Öffne Einstellungen, dann Single Sign-on, und verbinde deinen Anbieter mit der Discovery-URL, der Client-ID und dem Client-Secret.
- Füge der Verbindung deine E-Mail-Domains hinzu und bestätige jede mit ihrem DNS-TXT-Eintrag.
- Ordne die Gruppen Teams zu und aktiviere dann die Verbindung.
Anmeldung und Sicherheit beschreibt jeden dieser Schritte, das Erzwingen und die Notfall-Eigentümer.
So verhält es sich
Costfluent liest diese Claims aus dem ID-Token und, wo das ID-Token einen auslässt, vom Userinfo-Endpunkt:
iss, der dem Aussteller gleichen muss, den dein Discovery-Dokument beim Verbinden nannte,https://<keycloak-host>/realms/<realm>.sub, die Keycloak-Benutzer-ID, als die Identität, die Costfluent speichert.email, die in einer der bestätigten Domains der Verbindung liegen muss, was auch immeremail_verifiedsagt. Eine Adresse außerhalb aller bestätigten Domains wird abgelehnt, ebenso eine Anmeldung ohne Adresse.name, für den Namen eines Kontos, das Costfluent anlegt.groupsoder ein anderer Claim-Name, den du an der Verbindung einstellst, wenn dein Mapper einen anderen verwendet.
Costfluent lehnt außerdem ein Token ab, dessen Signatur, Zielgruppe, Nonce oder Gültigkeit nicht stimmt, und ein Discovery-Dokument, das plötzlich einen anderen Aussteller nennt.