在 Keycloak 中使用离线 cookie 实现单点登录 (SSO)

Question

我们可以在 Keycloak 中使用离线 cookie 实现单点登录 (SSO) 吗？

我将应用程序“A”连接到 Keycloak 7.0.1 (KC) 服务器以进行身份​​验证。 KC 为“ clientA ”下的用户生成活动会话和离线会话，并将访问令牌和离线令牌返回给用户。 离线令牌的有效期为 X 天。 因此，当用户再次尝试连接到应用程序“A”时，它会使用离线 cookie 来获取访问令牌，并且用户会获得身份验证。因此，身份验证正在使用应用程序“A”的离线 cookie。

现在我有另一个应用程序 'B' ，可以说它托管在相同或不同的域上。 KC 能够访问相同的离线 cookie，但它不允许身份验证。 此应用程序的客户端是'client B' 。 我得到的错误是“会话没有必需的客户端”

查看错误并阅读文章，我了解到两个不同的客户端无法访问相同的离线 cookie。 但我仍然想知道是否有人遇到过这种情况，以及允许两个应用程序使用相同的离线 cookie 的方法是什么，或者我们是否缺少任何 keycloak 配置。

编辑这个问题：我们可以拥有任何领域级别的离线令牌，而不是为领域中的每个客户端创建不同的离线令牌吗？

Answer 1

keycloak 用于为不同的应用程序生成凭据，您需要在同一领域中为应用程序 b 创建第二个客户端（您说您已经这样做了）。

我认为您不能使用从应用程序 a 到应用程序 b 的访问令牌。 如果两个应用程序共享相同的私钥，也许您可​​以根据生成令牌的方式来执行此操作，但是如果您这样做，则可能不需要 keycloak。

然后在此客户端发出授权请求，因为您已经在 keycloak 中有一个会话，这应该会自动发生并生成应用程序 b 所需的凭据。

要查看这是否正常工作，我会尝试直接在应用程序 b 中登录，转到 keycloak，在那里登录并查看提供的令牌是否可以让我登录到应用程序 b。

对不起，高水平的回应，但你的问题本身也是相当高水平的。