openid-connect - 使用 API 登录 Keycloak

Question

我有 2 个不同的应用程序:比如 申请1 和 申请2 .

我已集成 申请2 使用 keycloak，我可以使用 Keycloak 的登录页面登录到此应用程序。

现在我想要的是，如果我登录到我的 申请1 (没有keycloak)，我应该能够调用keycloak的一些API来登录application2(不呈现keycloak的登录页面)。

是否可行？如果是，如何？

任何帮助将不胜感激。

谢谢

Answer 1

您实际上是在要求您的用户信任 申请1 将安全地管理他们的 keycloak 凭据。不推荐这样做，因为

如果用户被重定向到 keycloak 以输入他们的凭据，则可以获得更好的安全性。在理想的世界中，没有客户端应用程序应该处理或访问用户凭据。

它违背了单点登录的目的，用户只需为他们需要访问的第一个应用程序输入凭据(前提是他们的 session 尚未过期)

但是如果你控制并且可以信任 申请1 并且由于遗留或其他原因需要这样做，那么您可以在 Keycloak 客户端定义上启用名为“直接访问”的资源所有者凭据流，然后将用户凭据作为 form-urlencoded 发布。数据类型为

https://<keycloak-url>/auth/realms/<realm>/protocol/openid-connect/token

参数将是

grant_type=password
client_id=<Application1's client id>
client_secret=<the client secret>
username=<the username>
password=<the password>
scope=<space delimited list of scope requests>

如果凭据无效，响应将是有效的 JWT 对象或 4xx 错误。