KeyCloak и Spring Boot

Описание

Хочу описать логику как с использованием сервиса авторизации Keycloak настроить авторизацию при этом получая token и refreshToken , а так-же обменивать refreshToken на новый token.

Мы такую логику использовали при работе с фронтом. Выставляли срок действия token 15 минут и когда он был просрочен, можно было обновить его при помощи refreshToken.

Запуск и настройка keycloak

Для запуска keycloak на машине разработчика удобно использовать docker-compose. В таком случае мы сможем запустить сервис на любой машине где установлен лишь docker. Ниже приведен один из вариантов конфигурации docker-compose для запуска сервера с базой данных postgres. База у нас одна, для всего проекта, поэтому для keycloak мы создаём отдельную схему в скриптах.

  postgres:     container_name: postgres     image: library/postgres:12     environment:       POSTGRES_USER: postgres       POSTGRES_PASSWORD: postgres       POSTGRES_DB: crm     ports:       - "5432:5432"     volumes:       - ${WORK_DATA}/database:/var/lib/postgresql/data       - ./initdb:/docker-entrypoint-initdb.d     restart: unless-stopped    keycloak:     image: jboss/keycloak     container_name: keycloak     environment:       DB_VENDOR: POSTGRES       DB_ADDR: postgres       DB_DATABASE: crm       DB_SCHEMA: keycloak       DB_USER: postgres       DB_PASSWORD: postgres       KEYCLOAK_USER: admin       KEYCLOAK_PASSWORD: admin     ports:       - "8484:8080"     depends_on:       - postgres

После запуска необходимо настроить realm, клиента, роли и пользователей.

Создадим realm «first_realm».

Создадим клиент «my_app», через который будем производить авторизацию пользователей. Так как мы хотим получать Token нужно настроить:
Access Type = «confidential»
Authorization Enable «ON»
После сохранения появиться вкладка тут нас интересует Secret, но это позже.

Указываем valid redirect Urls В нашем случае он будет равен: http://localhost:8080/*

Создадим роли для пользователей нашей системы — «ADMIN», «USER»

Добавляем пользователей «admin» с ролью «ADMIN»:
И пользователя «user» с ролью «USER». Не забываем устанавливать пароли на вкладке «Credentials». Сначала создаём пользователей, потом их настраиваем.

Подключаем Keycloak приложение Spring-Boot

Создадим приложение на spring-boot и подключим к нему Keycloak Spring Boot адаптер. Файл maven будет выглядеть так:

    <dependencyManagement>         <dependencies>             <dependency>                 <groupId>org.keycloak.bom</groupId>                 <artifactId>keycloak-adapter-bom</artifactId>                 <version>12.0.3</version>                 <type>pom</type>                 <scope>import</scope>             </dependency>         </dependencies>     </dependencyManagement>  <dependencys>         <dependency>             <groupId>org.springframework.boot</groupId>             <artifactId>spring-boot-starter-security</artifactId>         </dependency>         <dependency>             <groupId>org.springframework.boot</groupId>             <artifactId>spring-boot-starter-web</artifactId>         </dependency>         <dependency>             <groupId>org.keycloak</groupId>             <artifactId>keycloak-spring-boot-starter</artifactId>         </dependency>         <dependency>             <groupId>org.keycloak</groupId>             <artifactId>keycloak-admin-client</artifactId>             <version>${org.keycloak.admin-client.version}</version>         </dependency> </dependencys>

Добавим Контроллер для авторизации и получения Token

@Controller @RequiredArgsConstructor public class AuthController {      private final AuthService authService;      @PostMapping("/auth/login")      @PreAuthorize("permitAll()")     public ResponseEntity<LoginResponseMessage> login(String email, String pass) {)         val responseMessage = authService.login(loginRequestMessage);         return ResponseEntity.status(HttpStatus.OK)                 .body(responseMessage);    } }

Так же сервис для этих целей

@Slf4j @Service @RequiredArgsConstructor public class AuthService {      private final AuthzClient authzClient;      public LoginResponseMessage login(String email, String pass) {         log.info("START login for user {}", email);         try {             val response = authzClient.authorization(email, pass)                     .authorize();             val result = new LoginResponseMessage()                     .tokenType(response.getTokenType())                     .token(response.getToken());             log.info("FINISH login for user {} successfully", email)             return result;         } catch (AuthorizationDeniedException | HttpResponseException ex) {             log.debug("Exception when login {}", email, ex);             log.info("FINISH login for user {} is bad", email);             throw new BadAuthorizeException();         } catch (Exception ex) {             log.error("Some error occurred during login");             throw new BadAuthorizeException();         }     } }

public class LoginResponseMessage   {   @JsonProperty("token")   private String token;    @JsonProperty("refreshToken")   private String refreshToken;    @JsonProperty("tokenType")   private String tokenType;   }

Добавим контроллер, который будет выставлять методы для
различных ролей пользователей и информацию о текущем пользователе.

@Slf4j @Controller public class ClientController {      @PostMapping("/client/add")     @PreAuthorize("hasRole('ADMIN')")     public ResponseEntity<ClientInfo> addNewClient(@Valid ClientInfo clientInfo) {         log.info("Call method addNewClient");         return ResponseEntity.status(HttpStatus.OK)                 .body("Client add");     }      @GetMapping("/client/{clientId}")     @PreAuthorize("hasRole('USER')")     public ResponseEntity<ClientInfo> getClientInfoById(Integer clientId) {         val result = clientService.getClientById(clientId);          return ResponseEntity.status(HttpStatus.OK)                 .body("CLIENT");     } }

Для запуска приложения и подключения к keycloak,
нам необходимо добавить соответствующую конфигурацию.
В application.yml добавим настройки клиента и подключения к серверу авторизации,
вот тут нас интересует поле secret во вкладке Credentials

keycloak:   authServerUrl: http://localhost:8484/auth   realm: first_realm   resource: my_app   credentials:     secret: S63XNDWRT8i4DlsKhBgTJdO94fasd

После этого добавим конфигурацию spring-security, переопределим KeycloakWebSecurityConfigurerAdapter

@KeycloakConfiguration @EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true) public class WebSecurityConfig extends KeycloakWebSecurityConfigurerAdapter {       @Override     protected SessionAuthenticationStrategy sessionAuthenticationStrategy() {         return new NullAuthenticatedSessionStrategy();     }      @Autowired     public void configureGlobal(AuthenticationManagerBuilder authManagerBuilder) {         KeycloakAuthenticationProvider keycloakAuthenticationProvider = keycloakAuthenticationProvider();         keycloakAuthenticationProvider.setGrantedAuthoritiesMapper(new SimpleAuthorityMapper());         authManagerBuilder.authenticationProvider(keycloakAuthenticationProvider);     }      @Bean     public KeycloakConfigResolver keycloakConfigResolver() {         return new KeycloakSpringBootConfigResolver();     }      @Override     protected void configure(HttpSecurity http) throws Exception {         super.configure(http);         http.cors().and().csrf().disable();         http                 .authorizeRequests()                 .antMatchers("/auth/**").permitAll()                 .anyRequest().fullyAuthenticated()                 .and()                 .exceptionHandling()                 .authenticationEntryPoint(new HttpStatusEntryPoint(HttpStatus.UNAUTHORIZED));     } }

Делаем настройки Keycloak

@Configuration public class KeycloakConfiguration {      @Bean     public KeycloakSpringBootConfigResolver KeycloakConfigResolver() {         return new KeycloakSpringBootConfigResolver();     }      @Bean     public AuthzClient keycloakAuthzClient(KeycloakSpringBootProperties props) {         val config = new org.keycloak.authorization.client.Configuration(                 props.getAuthServerUrl(), props.getRealm(),                 props.getResource(), props.getCredentials(), null);          return AuthzClient.create(config);     }      @Bean     public Keycloak keycloak(KeycloakSpringBootProperties props) {         return KeycloakBuilder.builder()                 .serverUrl(props.getAuthServerUrl())                 .realm(props.getRealm())                 .grantType(OAuth2Constants.CLIENT_CREDENTIALS)                 .clientId(props.getResource())                 .clientSecret((String) props.getCredentials().get("secret"))                 .build();     } }

После этого мы можем обратиться к эндпоинту /auth/login передать туда логин и пароль,
а в ответ получить token и refreshToken

Время актуальности Token мы можем выставлять в настройках realm во вкладке tokens

Когда наш Token устарел, его нужно обновить, для этого нам и нужен
refreshToken. Добавляем в наш контроллер ещё один метод. Теперь делаем запрос на Новый эдпоинт /auth/tokenRefresh и передаём туда наш refreshToken.

    @PostMapping("/auth/tokenRefresh")     @PreAuthorize("permitAll()")     public ResponseEntity<LoginResponseMessage> tokenRefresh(String refreshToken) {         val responseMessage = authService.tokenRefresh(refreshToken);         return ResponseEntity.status(HttpStatus.OK)                 .body(responseMessage);     }

И добавляем реализацию обновления token в наш сервис.

   @Transactional     public LoginResponseMessage tokenRefresh(String refresh) {         log.info("START tokenRefresh");         try {             String url = authzClient.getConfiguration().getAuthServerUrl() + "/realms/" + authzClient.getConfiguration().getRealm() + "/protocol/openid-connect/token";             String clientId = authzClient.getConfiguration().getResource();             String secret = (String) authzClient.getConfiguration().getCredentials().get("secret");             val http = new Http(authzClient.getConfiguration(), (params, headers) -> {             });              val response = http.<AccessTokenResponse>post(url)                     .authentication()                     .client()                     .form()                     .param("grant_type", "refresh_token")                     .param("refresh_token", refresh)                     .param("client_id", clientId)                     .param("client_secret", secret)                     .response()                     .json(AccessTokenResponse.class)                     .execute();              val result = new LoginResponseMessage()                     .tokenType(response.getTokenType())                     .token(response.getToken())                     .refreshToken(response.getRefreshToken());             log.info("FINISH tokenRefresh");             return result;         } catch (AuthorizationDeniedException | HttpResponseException ex) {             log.debug("Exception when tokenRefresh", ex);             log.info("FINISH tokenRefresh is bad");             throw new BadAuthorizeException();         }     }

И на выходе мы опять получаем действующий token и refreshToken.

Всем кто дочитал спасибо!

Если у кого есть замечания и предложения, готов выслушать.