堆栈内存溢出
  繁体   English   中英

Keycloak SAML注销问题

[英]Keycloak SAML logout issues

 原文  2019-11-26 13:03:02  3   0    java-ee/ jboss/ single-sign-on/ wildfly/ keycloak

问题描述

我们正在一个需要SAML SSO的项目中，因此我们决定使用keycloak进行此实现。

用例

  • 具有外部IdP的SSO-密钥隐藏代理

    • SP启动和IdP启动的登录
  • 使用Keycloak作为IdP的SSO-使用Keycloak服务器进行注册和用户管理

基本设定

  • Keycloak-Server版本4.8.3.Final

  • Wildfly版本10.1.0.Final

  • Wildfly Adapter版本keycloak-saml-wildfly-adapter-dist-4.8.3.Final

我们还将Nginx用作独立Wildfly服务器之前的代理。

与keycloak相关的nginx配置： 

location ^~ /auth/ {
    proxy_pass          http://localhost:8180/auth/;
    proxy_set_header    Host               $host;
    proxy_set_header    X-Real-IP          $remote_addr;
    proxy_set_header    X-Forwarded-For    $proxy_add_x_forwarded_for;
    proxy_set_header    X-Forwarded-Host   $host;
    proxy_set_header    X-Forwarded-Server $host;
    proxy_set_header    X-Forwarded-Port   $server_port;
    proxy_set_header X-Forwarded-Proto $scheme;


}

部署架构

我们部署了一个耳朵，其中包含常见的jar和部署描述符，例如jboss-deployment-structure.xml。 该耳朵还包含一个war文件，其中包含用于客户端配置的jboss-web.xml和keycloak-saml.xml。 在以下示例中，它还包含多个jar，例如auth.login.saml.web.jar。 战争本身有一个web.xml，而lib文件夹中的jars有web-fragment.xml文件。 

app.ear
├── META-INF
│   ├── application.xml
│   ├── jboss-app.xml
│   ├── jboss-classloading.xml
│   ├── jboss-deployment-structure.xml
│   ├── MANIFEST.MF
└── mywar.war
    ├── META-INF
    │   ├── MANIFEST.MF
    └── WEB-INF
        ├── classes
        ├── jboss-web.xml
        ├── keycloak-saml.xml
        ├── lib
        │   └── auth.login.saml.web.jar
        │       ├── at
        │       │   └── prismasolutions
        │       │       └── ppcf
        │       │           └── core
        │       │               └── auth
        │       │                   ├── login
        │       │                          └── SAMLLoginServlet.class
        │       ├── META-INF
        │       │   ├── MANIFEST.MF
        │       │   └── web-fragment.xml
        └── web.xml

我们有一个基于权限的基础系统，该系统需要根据Principals属性从数据库中加载角色和权限。 该主体通过Jboss-Security或Keycloak客户端适配器登录。 在SamlLoginServlet中，SamlPrincipal用于提取属性并将其在应用程序中使用。

问题

对于两个定义的用例，登录过程似乎都可以正常工作

但

关于注销过程，我们确实有一些挣扎和未解决的问题。 关于我在2019年6月发送的另一个支持请求，注销不适用于我们记录的设置： https ： //lists.jboss.org/pipermail/keycloak-user/2019-June/018550.html

该文档指出：

“有多种方法可以从Web应用程序中注销。对于Java EE Servlet容器，可以调用HttpServletRequest.logout（）。对于其他任何浏览器应用程序，可以将浏览器指向具有安全性的Web应用程序的任何URL。约束并传递查询参数GLO，即http：// myapp？GLO = true http：// myapp /？GLO = true 。如果您与浏览器进行SSO会话，则将注销您。”

在我们的应用程序中，注销是通过调用Servlet（称为GlobalLogoutServlet）来实现的。 它在战争中包含的jar中的web-fragment.xml中注册： 

  <servlet-mapping>
        <servlet-name>GlobalLogoutServlet</servlet-name>
        <url-pattern>/login</url-pattern>
  </servlet-mapping>

为避免混淆：在客户端中有一个注销按钮，它引用URL / login？logout，这就是为什么要在URL-Path / login上注册该按钮的原因。

实施： 

public class GlobalLogoutServlet extends HttpServlet {

  private static final String LOGOUT_PARAM = "logout";

  @Override
  protected void doGet(HttpServletRequest req, HttpServletResponse resp)  throws ServletException, IOException {
    String queryString = req.getQueryString();
    if (LOGOUT_PARAM.equalsIgnoreCase(queryString)) {
      requestGlobalLogout(req, resp);
    }
  }

  private void requestGlobalLogout(HttpServletRequest req,  HttpServletResponse resp)
      throws ServletException, IOException {
    AuthFacade authBean = new  CommonBeanAccessorGeneric<AuthFacade>().getFacade(AuthFacade.BEAN_NAME,  AuthFacade.class);
    try {
      authBean.logout(req, resp);
    } catch (PrismaLoginException e) {
      throw new ServletException(e);
    }
  }

如您所见，有一个对EJB（AuthFacade）的调用，该调用执行应用程序登录（从数据库中加载角色和权限），在这种情况下，注销的实现方式如下： 

  @Override
  protected void doLogout(HttpServletRequest request,  HttpServletResponse response) throws PrismaLoginException {
    //HttpSession session = request.getSession();
    //session.invalidate();
    try {
      request.logout();
      String ctp = getGlobalLogoutUrl(request);
      response.sendRedirect(ctp);
    }catch(Exception e) {
      throw new PrismaLoginException(e);
    }
  }

  private String getGlobalLogoutUrl(HttpServletRequest request) {
    String ctp = request.getContextPath();
    ctp = cutTrailingSlash(ctp);
    ctp = ctp + "?GLO=true";
    return ctp;
  }

参考https://lists.jboss.org/pipermail/keycloak-user/2018-August/015164.html ，对HttpServletRequest.logout（）的调用不是非操作（它对SecurityContext有作用吗？），但是它不会触发向IdP的LogoutRequest。 仅当我还使用queryParam“？GLO = true”调用URL时，才完成此操作。 这将触发另一个AuthnRequest（WHY？），因此代理上还有另一个登录。在这之后，发生以下两种情况之一：

  1. 在idp启动的登录设置中-响应发送到应用程序，并显示错误页面，其中显示诸如“用户已登录”之类的内容以及指向“返回至应用程序”的链接

    • 也不发送注销请求

  2. 在sp启动的登录设置中-存在注销请求和状态成功的注销响应，导致重定向到主服务器，该主机处理诸如https：// myapp / webcontext / saml和403 Forbidden

请帮助我解决这些问题。 我已经阅读了很多相关的文章，但无法使它正常工作。

https://lists.jboss.org/pipermail/keycloak-user/2018-August/015164.html

我还给Red Hat写了一条消息，将来我们可能会订阅以获得更多支持，但他们尚未回答。

我将提供由IDP发起的第三方IDP登录名进行设置的一些配置详细信息：

jboss-web.xml： 

<?xml version="1.0" encoding="UTF-8"?>
<jboss-web>
  <security-domain>keycloak</security-domain>
</jboss-web>

战争中的web.xml： 

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://java.sun.com/xml/ns/javaee"
      xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
      xsi:schemaLocation="http://java.sun.com/xml/ns/javaee  http://www.oracle.com/webfolder/technetwork/jsc/xml/ns/javaee/web-app_3_0.xsd"
      version="3.0">
      <display-name>myapp</display-name>
      <context-param>
            <param-name>resteasy.scan</param-name>
            <param-value>true</param-value>
      </context-param>
</web-app>

登录模块jar的web-fragment.xml： 

<web-fragment metadata-complete="true" version="3.0"
    xmlns="http://java.sun.com/xml/ns/javaee"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://java.sun.com/xml/ns/javaee  http://java.sun.com/xml/ns/javaee/web-fragment_3_0.xsd">
    <name>SAMLLoginFragment</name>
    <servlet>
        <servlet-name>GlobalLogoutServlet</servlet-name>
        <servlet-class>at.prismasolutions.ppcf.core.auth.login.pvpsaml.GlobalLogoutServlet</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>GlobalLogoutServlet</servlet-name>
        <url-pattern>/login</url-pattern>
    </servlet-mapping>
    <servlet>
        <servlet-name>PublicContentServlet</servlet-name>
        <servlet-class>at.prismasolutions.ppcf.core.common.service.PublicContentServlet</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>PublicContentServlet</servlet-name>
        <url-pattern>/public/*</url-pattern>
    </servlet-mapping>
    <servlet>
        <servlet-name>SAMLLoginServlet</servlet-name>
        <servlet-class>at.prismasolutions.ppcf.core.auth.login.pvpsaml.SAMLLoginServlet</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>SAMLLoginServlet</servlet-name>
        <url-pattern>/saml_login</url-pattern>
    </servlet-mapping>
    <security-role>
        <role-name>*</role-name>
    </security-role>
    <!-- protected -->
    <security-constraint>
        <web-resource-collection>
           <web-resource-name>The protected  resources</web-resource-name>
           <url-pattern>/*</url-pattern>
        </web-resource-collection>
        <auth-constraint>
           <role-name>*</role-name>
        </auth-constraint>
        <user-data-constraint>
           <transport-guarantee>NONE</transport-guarantee>
        </user-data-constraint>
    </security-constraint>
    <!-- unprotected -->
    <security-constraint>
        <web-resource-collection>
           <web-resource-name>The unprotected  resources</web-resource-name>
           <url-pattern>/public/*</url-pattern>
           <url-pattern>/saml_login</url-pattern>
        </web-resource-collection>
        <!-- note the missing auth-constraint -->
        <user-data-constraint>
           <transport-guarantee>NONE</transport-guarantee>
        </user-data-constraint>
    </security-constraint>
    <login-config>
        <auth-method>KEYCLOAK-SAML</auth-method>
    </login-config>
    <!-- Session Configuration -->
    <session-config>
        <cookie-config>
           <path>/</path>
        </cookie-config>
    </session-config>
</web-fragment>

客户端keycloak-saml.xml 

<keycloak-saml-adapter>
    <SP entityID="myapp"
        sslPolicy="EXTERNAL">
        <Keys>
            <Key signing="true">
                <KeyStore
                    file="${jboss.server.config.dir}/keystore/keystore.jks"
                    password="*****">
                    <PrivateKey
                        alias="mykey"
                        password="****" />
                    <Certificate
                        alias="mycert" />
                </KeyStore>
            </Key>
            <Key encryption="true">
                <KeyStore
                    file="${jboss.server.config.dir}/keystore/keystore.jks"
                    password="*****">
                    <PrivateKey
                        alias="mykey"
                        password="*****" />
                </KeyStore>
            </Key>
        </Keys>
        <PrincipalNameMapping policy="FROM_ATTRIBUTE"
            attribute="USERID" />
        <IDP entityID="idp" signatureAlgorithm="RSA_SHA256"
            signatureCanonicalizationMethod="http://www.w3.org/2001/10/xml-exc-c14n#">
            <SingleSignOnService signRequest="true"
                validateResponseSignature="true" validateAssertionSignature="true"
                requestBinding="POST"
                bindingUrl="https://mybroker/auth/realms/MYREALM/protocol/saml" />
            <SingleLogoutService signRequest="true"
                signResponse="true" validateRequestSignature="true"
                validateResponseSignature="true" requestBinding="POST"
                responseBinding="POST"
                postBindingUrl="https://mybroker/auth/realms/MYREALM/protocol/saml"
                redirectBindingUrl="https://mybroker/auth/realms/MYREALM/protocol/saml" />
        </IDP>
    </SP>
</keycloak-saml-adapter>

来自standalone.xml的与Keycloak相关的摘要： 

<extension module="org.keycloak.keycloak-saml-adapter-subsystem"/>

<security-domain name="keycloak" cache-type="default"/>
</security-domains>

<subsystem xmlns="urn:jboss:domain:keycloak-saml:1.1"/>



<server name="default-server">
                <http-listener name="default" max-connections="100" socket-binding="http" max-post-size="10000000000$ redirect-socket="https" proxy-address-forwarding="true" enable-http2="true"/>

...

第三方idp中为idp启动的设置导入的元数据： 

<EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="https://mybroker/auth/realms/MYREALM">
    <SPSSODescriptor AuthnRequestsSigned="true" WantAssertionsSigned="true"
            protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol urn:oasis:names:tc:SAML:1.1:protocol http://schemas.xmlsoap.org/ws/2003/07/secext">
        <NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:persistent</NameIDFormat>
        <KeyDescriptor use="signing">
          <dsig:KeyInfo xmlns:dsig="http://www.w3.org/2000/09/xmldsig#">
            <dsig:KeyName>*****</dsig:KeyName>
            <dsig:X509Data>
              <dsig:X509Certificate>*****</dsig:X509Certificate>
            </dsig:X509Data>
          </dsig:KeyInfo>
        </KeyDescriptor>
        <KeyDescriptor use="encryption">
          <dsig:KeyInfo xmlns:dsig="http://www.w3.org/2000/09/xmldsig#">
            <dsig:KeyName>*****</dsig:KeyName>
            <dsig:X509Data>
              <dsig:X509Certificate>*****</dsig:X509Certificate>
            </dsig:X509Data>
          </dsig:KeyInfo>
        </KeyDescriptor>
        <SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://mybroker/auth/realms/MYREALM/broker/myidp/endpoint"/>
        <AssertionConsumerService
                Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://mybroker/auth/realms/MYREALM/broker/myidp/endpoint/clients/myapp"
                index="1" isDefault="true" />
    </SPSSODescriptor>
</EntityDescriptor>

对于有关saml注销的任何其他信息，我将感到高兴：

  • 有关系统任何部分中与注销相关的所有配置的信息
  • 有关注销过程所依赖的所有Keycloak类的信息

对于解决此问题的任何帮助，我将非常感谢。 请随时询问更多信息，我将竭尽所能。

幸运的是，

曼努埃尔·沃尔切克（Manuel Waltschek）

0 个解决方案

暂无
暂无

声明:本站的技术帖子网页，遵循CC BY-SA 4.0协议，如果您需要转载，请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.

相关问题 接下来的问题是什么？ 当struts2 Web应用程序中没有注销时 注销问题！ SAML - Java中的服务提供者 如何在 SAML 中创建令牌？ Spring 安全注销不起作用 如何支持SAML进行用户身份验证 将自定义属性添加到SAML断言 Tapestry5注销异常 托管Bean注销不起作用 登录注销有误
相关标签
 
粤ICP备18138465号  © 2020-2024 STACKOOM.COM