Formation Keycloak

PROGRAMME DE NOTRE FORMATION KEYCLOAK

[Jour 1 – Matin]

Introduction à Keycloak & IDP

• Qu’est-ce qu’un Identity Provider ? — les 4 piliers de l’IAM : identification, authentification, autorisation, audit
• Pourquoi Keycloak ? — open source Red Hat / CNCF, standards supportés, extensibilité (API REST, SPI, thèmes), communauté
• Vocabulaire essentiel — Realm, Client, User, Role, Group, Client Scope
• Installation et modes de déploiement — Docker / Podman, machine physique ou VM, Kubernetes (operator officiel)
• OAuth 2.0 & OpenID Connect — autorisation vs identité, ID token, endpoint /userinfo, discovery .well-known
• Flows d’authentification OIDC — Authorization Code + PKCE, Authorization Code, Client Credentials, Device Authorization, ROPC (déprécié)
• TP 1 — Démarrer Keycloak avec Docker Compose
  • Lancer Keycloak 26.1 + PostgreSQL en local, accéder à la console admin
  • Créer un premier realm « demo »
  • Vérifier /.well-known/openid-configuration.

Gestion des clients Keycloak

• Configuration de base d’un client — Client ID, type de client, Root URL, Valid Redirect URIs, Web Origins, Capability Config
• Types d’usage par configuration client — A — applications avec utilisateur humain (SPA, mobile, web server-side) ; B — machine-to-machine ; C — appareils sans navigateur
• (Device Flow, CLI) ; D — cas legacy (ROPC) ; E — haute sécurité (DPoP, CIBA, Token Exchange)
• Secrets, rôles & comptes de service — client secret et rotation, X.509 / signed JWT (mTLS), realm roles vs client roles, composite roles, service accounts
• Cycle de vie des jetons — access token, ID token, refresh token : durées, contenu, stockage, révocation
• TP 2  — Realm avec trois types de clients
  • Importer un realm pré-configuré (SPA public, web confidentiel, service account M2M)
  • Tester chaque flow OIDC, dont Client Credentials via curl.

[Jour 1 – Après-midi]

Client Scopes & utilisateurs

• Client Scopes — default vs optional scopes, scopes standards (profile, email, roles, address, phone, offline_access)
• Protocol mappers — claims personnalisés, rôles, attributs utilisateurs, audiences
• Impersonate — cas d’usage support, permissions requises, traçabilité et limites
• Gestion des sessions — SSO Session Idle / Max, offline sessions, logout central
• Gestion des groupes — hiérarchie et groupes imbriqués, héritage des rôles, attributs de groupe, default groups
• TP 3 — Client Scopes & protocol mappers
  • Créer un scope « department » alimenté par un attribut utilisateur,
  • Mapper les groupes dans le token, décoder le JWT
  • Vérifier via /userinfo.

Royaumes (Realms) et segmentation

• Le concept de realm — espace isolé : utilisateurs, clients, rôles et politiques
• Le master realm — rôle, comptes super-admin, bonnes pratiques d’usage
• Stratégies de segmentation — un realm par environnement, par client (multi-tenant SaaS) ou par périmètre métier
• Realm roles vs client roles — portée, visibilité dans les tokens, rôles composites
• Organizations (Keycloak 26) — multi-tenancy léger, domaines email associés, IDP dédié par organisation
• TP 4 — Multi-tenancy avec Organizations
  • Activer les Organizations, créer ACME et Globex dans un même realm
  • Lier des domaines email
  • Vérifier la résolution automatique à la connexion.

[Jour 2 – Matin]

Keycloak sous le capot & administration

• Présentation de la base de données — configuration de la persistance et lecture du schéma (principales tables)
• Administration par CLI — kcadm.sh — authentification (KC 26 : plus de /auth), création de realms, de clients et d’utilisateurs, configuration SMTP (Mailpit)
• Administration par API REST — obtenir un token admin, créer realm / client / utilisateurs, réinitialiser un mot de passe
• Endpoints OIDC standards — discovery, auth, token, userinfo, logout, introspect
• Tester depuis un client — Client Credentials (M2M), Authorization Code, refresh token, introspection, /userinfo
• TP 5 — Tester Keycloak avec Postman
  • Construire une collection OIDC complète : export JSON du realm, import via kcadm
  • Récupération et rafraîchissement des tokens, introspection.

Intégration d’annuaires existants

• Fédérer un annuaire d’entreprise — les 5 étapes : add provider, connect, map users, attributs, synchronisation
• Paramétrage du provider LDAP — URL, bind DN, Users DN, RDN et UUID attribute
• Mappers LDAP — email, nom, groupes, attributs personnalisés
• Modes de synchronisation — périodique ou à la demande
• Kerberos & SSO Windows — service principal, keytab, realm Kerberos, SPNEGO, configuration du navigateur, fallback form login
• TP 6  —  Fédération OpenLDAP
  Démarrer une stack OpenLDAP + phpLDAPadmin, configurer la fédération dans Keycloak, synchroniser utilisateurs et groupes puis tester la connexion d’un compte LDAP.

Intégration avec un IDP externe

• Keycloak comme broker d’identités — déléguer l’authentification à un fournisseur tiers
• Protocoles supportés — OpenID Connect (Google, Microsoft Entra, Auth0, autre Keycloak), SAML 2.0 (ADFS, Okta, Ping, Shibboleth), social login, broker custom (SPI)
• Méthodes d’intégration SSO — first login flow, account linking, identity mapping, token exchange
• TP 7  — Brancher un IDP externe
  • Configurer un IDP externe (OIDC ou SAML)
  • Définir le first login flow
  • Mapper les claims externes vers les attributs locaux
  • Valider le parcours SSO.

[Jour 2 – Après-midi]

Renforcer la sécurité

• Protéger une application Node.js — configuration du client côté Keycloak et intégration côté application
• Politiques de mot de passe — longueur, complexité, historique, interdiction username/email, itérations de hachage (PBKDF2), expression régulière
• Authentification multi-facteurs — OTP / TOTP, WebAuthn et passkeys (FIDO2, Yubikey), recovery codes, MFA conditionnel
• Protection brute-force — verrouillage après N échecs, temporisation
• Audit & conformité — événements à surveiller (LOGIN, LOGOUT, UPDATE_PASSWORD, CLIENT_LOGIN, IMPERSONATE, admin events) et checklist : HTTPS strict, rotation des secrets, désactivation des flows obsolètes, durées de tokens, sauvegardes, mise à jour CVE
• TP 8  — Realm durci pour la production
  • Appliquer une password policy stricte, activer TOTP et WebAuthn
  • Configurer la protection brute-force et les logs d’audit
  • Tester le verrouillage de compte.

Les Organisations dans Keycloak

• Modèle Organizations — positionnement par rapport aux realms et aux groupes
• Cycle de vie — création, membres, invitations, domaines et vérification
• IDP et politiques par organisation — résolution automatique à la connexion, rôles et attributs propres

Les Workflows

• Principe des workflows — déclencheur (on), condition (if) et étapes (steps)
• Notification à la connexion — workflow « notify on login » sur l’événement user-authenticated
• Désactivation des comptes inactifs — notification après 30 jours puis désactivation automatique après 7 jours

Clôture

• Tour de table : ce que j’ai appris, comment cela va me servir dans mon travail
• Questions / réponses et pistes d’approfondissement