OpenID Keycloak领域的自定义身份验证器

Question

我目前正在评估keycloak作为多个后端和多个REST服务（Resteasy / Wildfly）的中央Identity Manager。

经过大量的反复试验和阅读文档，我成功地将openid connect登录到我的自定义keycloakrealm（类似于这篇文章http://blog.keycloak.org/2015/10/getting-started-with -keycloak-secured.html ）

我可以看到来自响应的acces token + id_token，并且能够通过传递这些tokes来向REST服务发出请求。

但是，我只能使用keycloak本身定义的用户凭据进行身份验证。 但是，在我们的reallife案例中，用户驻留在SAP中并且不知道keycloak。

但是，我们有一个javalibrary用于通过SAPJCO连接器验证这些用户。

任何人都可以告诉我如何配置keycloak使用“自定义身份验证”模块进行实际身份验证？

正在实施自定义验证器SPI（ https://keycloak.gitbooks.io/server-developer-guide/content/v/2.1/topics/auth-spi.html ）的方法吗？ 如果没有，那么什么是可能的解决方案？

希望你们能帮忙！

Reagrds，

Kim Zeevaarders荷兰

Answer 1

如果您可以通过SAPJCO连接器访问SAP用户详细信息，那么您可以编写自定义联合提供程序 。 提供的示例是基本的，但它给出了基本思想和maven依赖。

简而言之，您需要扩展org.keycloak.models.UserFederationProvider并提供获取用户详细信息，验证凭据和按属性搜索的方法。 在您的情况下，您将使用SAPJCO连接器来完成针对现有用户群的每个功能。

2018年5月30日更新

用户联合SPI已在2.5版中替换为新的用户存储SPI 。 迁移说明可在此处获得