Keycloak интеграция со Spring boot07.12.2024 08:16

    4.0.0
    
        org.springframework.boot
        spring-boot-starter-parent
        3.3.5
         
    
    org.example
    OauthTest
    0.0.1-SNAPSHOT
    OauthTest
    OauthTest
    
    
        
    
    
        
    
    
        
        
        
        
    
    
        17
    
    
        
            org.springframework.boot
            spring-boot-starter-oauth2-client
        
        
            org.springframework.boot
            spring-boot-starter-oauth2-resource-server
        
        
            org.springframework.boot
            spring-boot-starter-security
        
        
            org.springframework.boot
            spring-boot-starter-web
        
        
            org.projectlombok
            lombok
            true
        
        
            org.springframework.boot
            spring-boot-starter-test
            test
        
        
            org.springframework.security
            spring-security-test
            test
        
    

    
        
            
                org.springframework.boot
                spring-boot-maven-plugin
                
                    
                        
                            org.projectlombok
                            lombok
                        
                    
                
            
        
    

services:
  postgres:
    container_name: Postgres
    image: postgres
    environment:
      POSTGRES_USER: root
      POSTGRES_PASSWORD: root
      POSTGRES_DB: keycloak
    volumes:
      - postgres_data:/var/lib/postgresql/data
    ports:
      - 5435:5432
    networks:
      - keycloak-network
    restart: unless-stopped

  keycloak:
    container_name: Keycloak
    image: quay.io/keycloak/keycloak:latest
    ports:
      - 9090:8080
    environment:
      DB_VENDOR: POSTGRES
      DB_ADDR: postgres
      DB_DATABASE: keycloak
      DB_SCHEMA: public
      DB_USER: root
      DB_PASSWORD: root
      KEYCLOAK_ADMIN: admin
      KEYCLOAK_ADMIN_PASSWORD: admin
    networks:
      - keycloak-network
    depends_on:
      - postgres
    command:
      - "start-dev"
networks:
  keycloak-network:
    driver: bridge

volumes:
  postgres_data:
    driver: local
  keycloak:
    driver: local

Вход в Keycloak

Создание нового realm

Даём название нашему realm

Созданием нового client

1. Даём имя нашему client.

Даем название client

1. Устанавливаем в Client authentication флаг на On.

Устанавливаем флаг On

1. Прописываем наши URL.

Прописываем наши URL

Данный URL будет использовать наш бэк. В дальнейшем мы это все пропишем.

Создание нового пользователя

Пропишем данные в полях.

Заполнение данных

После создания, данный пользователь не будет иметь пароля, для это установим его во вкладке Credentials.

Добавление пароля

Прописывание пароля

Теперь у нас есть пользователь в базе данных. Давайте проверим можно ли войти под этими данными. Для этого создадим файл scratch.http и пропишем следующее:

POST http://localhost:9090/realms/OauthTests/protocol/openid-connect/token
Content-Type: application/x-www-form-urlencoded

client_id=myclient&client_secret=SECRET&username=kudzip&password=test&grant_type=password

client_id — это название, созданного нами client.

client_secret — это секретный ключ нашего client, его можно скопировать следуя инструкциям в пункте Копирование client secret. Данный ключ нужно вставить вместо слова SECRET.

Поиск секретного ключа нашего client

Копирование client secret

username и password — это username и password, созданного нами пользователя.

После отправления запроса нам в ответ генерируется access_token и refresh_token:

Отправление запроса

Данный запрос можно выполнить в postman.

Как видно из изображения, все работает исправно. Проверим данный токен на сайте — JWT.IO.

Проверка JWT

Данный токен несет в себе основную информацию о пользователе. В поле «полезная нагрузка» можно увидеть все нужные данные. (email, role, name, family, username и тд.)

Просмотр нашего Client

Просмотр access token

В поле Users нужно выбрать интересующего нас пользователя.

{
  "exp": 1733502948,
  "iat": 1733502648,
  "jti": "85cd30db-8b48-49a0-bf91-45a8e649e20a",
  "iss": "http://localhost:9090/realms/OauthTests",
  "aud": "account",
  "sub": "4b65107a-99f2-49dc-a161-e12bf2fdc1f3",
  "typ": "Bearer",
  "azp": "myclient",
  "sid": "70a67a84-f849-4b43-a3f8-b5d42b1f4daa",
  "acr": "1",
  "allowed-origins": [
    "http://localhost:8083"
  ],
  "realm_access": {
    "roles": [
      "default-roles-oauthtests",
      "offline_access",
      "uma_authorization"
    ]
  },
  "resource_access": {
    "account": {
      "roles": [
        "manage-account",
        "manage-account-links",
        "view-profile"
      ]
    }
  },
  "scope": "openid profile email",
  "email_verified": true,
  "name": "ivan Storozhev",
  "spring_sec_roles": [
    "default-roles-oauthtests",
    "offline_access",
    "uma_authorization"
  ],
  "preferred_username": "kudzip",
  "given_name": "ivan",
  "family_name": "Storozhev",
  "email": "test@test.ru"
}

Такую же информацию мы получили, когда расшифровали наш JWT на сайте.

Создание новой роли

Даём название нашей роли

Теперь у нас есть отдельная роль для менеджеров. В конфиге spring security мы пропишем безопасность с учетом ролей.

Чтобы подключить Google нужно перейти на сайт с API. Здесь нам нужно создать новый Oauth client ID.

Создание нового Oauth client ID

Откроется окно по созданию client. Первым делом нам нужно выбрать тип приложения (я выбрал Web application). Далее нужно дать имя нашему client. После нужно указать Redirect URI. Как получить Redirect URI описано в пункте Получение Redirect URI.

Заполнение полей

Поиск Redirect URI 

После нажатия на «Add provider» будет выбор из нескольких провайдеров, нам нужно выбрать Google.

Копирование Redirect URI

Когда мы создали наш Oauth client ID, нужно зайти в него, чтобы узнать Client ID и Client secret.

Переход к нашему Client

Узнаем наши Client ID и Client secret

Нам нужно скопировать эти 2 поля и перейти к Keycloak. Здесь нам нужно во вкладке, где мы копировали Redirect URI вставить недостающие поля.

Client ID — скопированный Client ID с API Google.

Client Secret — скопированный Client Secret с API Google.

Заполнение полей

Чтобы подключить GitHub нужно перейти на сайт Developer settings. Здесь нам нужно создать new Oauth app.

Создание new Oauth app

Далее заполняем поля.

Заполнение полей

Поиск Redirect URI 

После нажатия на «Add provider» будет выбор из нескольких провайдеров, нам нужно выбрать GitHub.

Копирование Redirect URI

Заходим в созданный нами Oauth app, чтобы узнать Client ID и Client secret.

Узнаем наши Client ID и Client secret

Нам нужно скопировать эти 2 поля и перейти к Keycloak. Здесь нам нужно во вкладке, где мы копировали Redirect URI вставить недостающие поля.

Client ID — скопированный Client ID с GitHub.

Client Secret — скопированный Client Secret с GitHub.

Заполнение полей

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: http://localhost:9090/realms/OauthTests
      client:
        provider:
          keycloak:
            issuer-uri: http://localhost:9090/realms/OauthTests
            user-name-attribute: preferred_username
        registration:
          keycloak:
            client-id: myclient
            client-secret: YOUR SECRET
            scope: openid
server:
  port: 8083
logging:
  level:
    org.springframework.security: TRACE

client-id — это client id, созданного нами client в Keycloak.

client-secret — это секретный ключ, созданного нами client в Keycloak. (Мы его использовали выше, для теста пользователя)

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {

        http
                .authorizeHttpRequests((authorize) -> authorize
                        .requestMatchers("/error").permitAll()
                        .requestMatchers("/manager.html").hasRole("MANAGER")
                        .anyRequest().authenticated()
                )
                .oauth2ResourceServer((oauth2) -> oauth2
                        .jwt(Customizer.withDefaults())
                )
                .oauth2Login(Customizer.withDefaults());
        return http.build();
    }
}

@Bean
    public JwtAuthenticationConverter jwtAuthenticationConverter() {
        JwtAuthenticationConverter jwtAuthenticationConverter = new JwtAuthenticationConverter();
        JwtGrantedAuthoritiesConverter jwtGrantedAuthoritiesConverter = new JwtGrantedAuthoritiesConverter();
        jwtAuthenticationConverter.setPrincipalClaimName("preferred_username");
        jwtAuthenticationConverter.setJwtGrantedAuthoritiesConverter(jwt -> {
            var authorities = jwtGrantedAuthoritiesConverter.convert(jwt);
            var roles =jwt.getClaimAsStringList("spring_sec_roles");

            return Stream.concat(authorities.stream(),
                    roles.stream()
                            .filter(role -> role.startsWith("ROLE_"))
                            .map(SimpleGrantedAuthority::new)
                            .map(GrantedAuthority.class::cast))
                    .toList();
        });
        return jwtAuthenticationConverter;
    }

@Bean
    public OAuth2UserService oAuth2UserService() {
        var oidcUserService = new OidcUserService();
        return userRequest -> {
            var oidcUser = oidcUserService.loadUser(userRequest);
            var roles = oidcUser.getClaimAsStringList("spring_sec_roles");
            var authorities = Stream.concat(oidcUser.getAuthorities().stream(),
                            roles.stream()
                                    .filter(role -> role.startsWith("ROLE_"))
                                    .map(SimpleGrantedAuthority::new)
                                    .map(GrantedAuthority.class::cast))
                    .toList();

            return new DefaultOidcUser(authorities, oidcUser.getIdToken(), oidcUser.getUserInfo());
        };
    }

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {

        http
                .authorizeHttpRequests((authorize) -> authorize
                        .requestMatchers("/error").permitAll()
                        .requestMatchers("/manager.html").hasRole("MANAGER")
                        .anyRequest().authenticated()
                )
                .oauth2ResourceServer((oauth2) -> oauth2
                        .jwt(Customizer.withDefaults())
                )
                .oauth2Login(Customizer.withDefaults());
        return http.build();
    }

    @Bean
    public JwtAuthenticationConverter jwtAuthenticationConverter() {
        JwtAuthenticationConverter jwtAuthenticationConverter = new JwtAuthenticationConverter();
        JwtGrantedAuthoritiesConverter jwtGrantedAuthoritiesConverter = new JwtGrantedAuthoritiesConverter();
        jwtAuthenticationConverter.setPrincipalClaimName("preferred_username");
        jwtAuthenticationConverter.setJwtGrantedAuthoritiesConverter(jwt -> {
            var authorities = jwtGrantedAuthoritiesConverter.convert(jwt);
            var roles =jwt.getClaimAsStringList("spring_sec_roles");

            return Stream.concat(authorities.stream(),
                    roles.stream()
                            .filter(role -> role.startsWith("ROLE_"))
                            .map(SimpleGrantedAuthority::new)
                            .map(GrantedAuthority.class::cast))
                    .toList();
        });
        return jwtAuthenticationConverter;
    }

    @Bean
    public OAuth2UserService oAuth2UserService() {
        var oidcUserService = new OidcUserService();
        return userRequest -> {
            var oidcUser = oidcUserService.loadUser(userRequest);
            var roles = oidcUser.getClaimAsStringList("spring_sec_roles");
            var authorities = Stream.concat(oidcUser.getAuthorities().stream(),
                            roles.stream()
                                    .filter(role -> role.startsWith("ROLE_"))
                                    .map(SimpleGrantedAuthority::new)
                                    .map(GrantedAuthority.class::cast))
                    .toList();

            return new DefaultOidcUser(authorities, oidcUser.getIdToken(), oidcUser.getUserInfo());
        };
    }
}

    


  
Привет, аутентифицированный пользователь

    


  
Hi manager

Далее вновь заходим на наш хост и в форме авторизации выбираем Google.

Авторизация через Google

Далее выбираем наш аккаунт.

Вход через Google

Как видно, все работает! Если зайти в Keycloak во вкладку Users, то мы увидим, что у нас добавился новый пользователь.

Users

Далее вновь заходим на наш хост и в форме авторизации выбираем GitHub.

Авторизация через GitHub

Далее вводим наши данные от аккаунта.

Вход через GitHub

Как видно, все работает! Если зайти в Keycloak во вкладку Users, то мы увидим, что у нас добавился новый пользователь.

Users