OpenID Keycloak領域的自定義身份驗證器

Question

我目前正在評估keycloak作為多個后端和多個REST服務（Resteasy / Wildfly）的中央Identity Manager。

經過大量的反復試驗和閱讀文檔，我成功地將openid connect登錄到我的自定義keycloakrealm（類似於這篇文章http://blog.keycloak.org/2015/10/getting-started-with -keycloak-secured.html ）

我可以看到來自響應的acces token + id_token，並且能夠通過傳遞這些tokes來向REST服務發出請求。

但是，我只能使用keycloak本身定義的用戶憑據進行身份驗證。 但是，在我們的reallife案例中，用戶駐留在SAP中並且不知道keycloak。

但是，我們有一個javalibrary用於通過SAPJCO連接器驗證這些用戶。

任何人都可以告訴我如何配置keycloak使用“自定義身份驗證”模塊進行實際身份驗證？

正在實施自定義驗證器SPI（ https://keycloak.gitbooks.io/server-developer-guide/content/v/2.1/topics/auth-spi.html ）的方法嗎？ 如果沒有，那么什么是可能的解決方案？

希望你們能幫忙！

Reagrds，

Kim Zeevaarders荷蘭

Answer 1

如果您可以通過SAPJCO連接器訪問SAP用戶詳細信息，那么您可以編寫自定義聯合提供程序 。 提供的示例是基本的，但它給出了基本思想和maven依賴。

簡而言之，您需要擴展org.keycloak.models.UserFederationProvider並提供獲取用戶詳細信息，驗證憑據和按屬性搜索的方法。 在您的情況下，您將使用SAPJCO連接器來完成針對現有用戶群的每個功能。

2018年5月30日更新

用戶聯合SPI已在2.5版中替換為新的用戶存儲SPI 。 遷移說明可在此處獲得