如何使用 keycloak-saml 適配器將第三方 IdP SAML 屬性映射到我的本地應用程序角色

Question

我的設置是：

• EAP 6.4.18
• keycloak-saml 適配器
• 第三方 IdP 服務器（不是 keycloak 服務器）

我正在嘗試保護 EAR 中的 Web 應用程序之一。 目前我的 standalone.xml 看起來像這樣：

<subsystem xmlns="urn:jboss:domain:keycloak-saml:1.3">
    <secure-deployment name="myapp.war">
        <SP entityID="https://mydomain/myapp/" sslPolicy="EXTERNAL" nameIDPolicyFormat="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent" logoutPage="/logout.jsp" forceAuthentication="false" isPassive="false" turnOffChangeSessionIdOnLogin="false">
            <Keys>
                <Key signing="true" encryption="false">
                    <KeyStore password="pass" file="/path-to/keyStore.jks">
                        <PrivateKey alias="sp" password="pass"/>
                        <Certificate alias="sp"/>
                    </KeyStore>
                </Key>
            </Keys>
            <IDP entityID="...entityID...">
                <SingleSignOnService signRequest="true" validateResponseSignature="true" requestBinding="POST" bindingUrl="...sso dinding..." assertionConsumerServiceUrl="https://mydomain/myapp/saml"/>
                <SingleLogoutService validateRequestSignature="true" validateResponseSignature="true" signRequest="true" signResponse="true" requestBinding="POST" responseBinding="POST" postBindingUrl="...slo binding..." redirectBindingUrl="...redirect..."/>
                <Keys>
                    <Key signing="true" encryption="false">
                        <KeyStore password="pass" file="/path-to/keyStore.jks">
                            <Certificate alias="idp"/>
                        </KeyStore>
                    </Key>
                </Keys>
            </IDP>
        </SP>
    </secure-deployment>
</subsystem>

這部分工作得很好。 我被重定向到 IdP，我可以登錄。 問題是我的應用程序角色和 IdP 返回的角色不匹配。

如何在這兩個角色之間配置角色映射，以便用戶在會話中擁有正確的角色？

泰。

筆記：

我已經用 picketlink 子系統做過類似的事情。 下面我使用一個屬性文件來做這樣的映射。 我認為可以使用 keycloak 適配器完成類似的操作，但是“keycloak-saml:1.1”模式似乎沒有辦法選擇安全域。

<security-domain name="my-realm">
<authentication>
    <login-module code="org.picketlink.identity.federation.bindings.jboss.auth.SAML2LoginModule" flag="optional">
        <module-option name="password-stacking" value="useFirstPass"/>
    </login-module>
    <login-module code="org.jboss.security.auth.spi.RoleMappingLoginModule" flag="optional">
        <module-option name="password-stacking" value="useFirstPass"/>
        <module-option name="rolesProperties" value="${jboss.server.config.dir}/rolesMapping-roles.properties"/>
        <module-option name="replaceRole" value="true"/>
    </login-module>
</authentication>

使用 picketlink 子系統，我可以選擇我的安全域，然后角色映射就會發生。

<service-provider name="myapp.war" security-domain="my-realm"...

Answer 1

這是我缺少的配置：

​<RoleMappingsProvider id="properties-based-role-mapper">
       ​<Property name="properties.file.location" value="/opt/mappers/roles.properties"/>
​</RoleMappingsProvider>

“properties-based-role-mapper”的實現類為：org.keycloak.adapters.saml.PropertiesBasedRoleMapper

更多信息在這里： https : //www.keycloak.org/docs/latest/securing_apps/#_saml-general-config

問題是我正在查看不提供該選項的架構版本 1.1。 1.3 版可以，完美運行。

我希望這個問題/答案可以幫助那里的人。

干杯。