Keycloak:针对特定资源的 2FA 保护

Question

我想通过 2FA 保护高级别风险功能。从历史上看，我们使用2FA 短信。我想提出相同的功能，但理想情况下，我希望能够还集成 native Keycloak OTP 身份验证器(更安全)。这就是为什么基于 keycloak-sms-authenticator-sns https://github.com/nickpack/keycloak-sms-authenticator-sns> ，我有改进了这个验证器(我很快就会发出合并请求)。

我在 Keycloak 3.4.3 文档中进行了搜索，但使用相同的领域，我当最终用户想要访问某个内容时，还没有看到任何询问 2FA 的功能具体资源。角色机制允许管理访问(403 - 200)，但似乎并非如此涵盖我的用例。我不确定 UMA 2.0 是否可以提供此功能。而且，它尚未实现。保证水平似乎非常好，但尚未实现，并且会很难做到。

我可以在业务应用程序中包含一个 servlet 过滤器(JBoss 适配器)当用户想要访问资源时将其路由到 2FA 身份验证器。但在这种情况下，我必须在 Keycloak 和 Java 之间传播状态适配器不会在每次访问时询问 2FA 代码。在集群模式(无状态服务)下可能有点棘手。

您是否有想法基于 native keycloak 轻松覆盖此用例特征？如果情况并非如此，您认为最好的解决方案是什么(请参阅多于)？ (可维护性、集群支持和 2FA 的最简单集成技术不可知论)

感谢您分享您的经验。

Answer 1

您似乎正在寻找一种升级身份验证。这尚未在 Keycloak 中实现，但有一个现有的 jira 票证 here .

也已经有关于 mailinglist 的讨论。 (也许还有一些我目前没有找到的其他线程)。

我还偶然发现了来自 Thomas Darimont 的“Conditional OTP Form Authenticator”，他是一位非常活跃的 Keycloak 社区提交者。

以某种方式HTH。