Keycloak: Der anpassbare Identity Provider im Ăśberblick
Flexibel, leistungsfähig, quelloffen – damit bietet sich der Identity Provider Keycloak fürs Identity and Access Management on Premises und in der Cloud an.
- Tilman Kranz
Angesichts steigender Anforderungen an das Identity and Access Management (IAM) und das Privilege Access Management (PAM) lohnt es sich, über die Zusammenlegung und Vereinheitlichung von Authentifizierung, also den Anmeldevorgängen, und Autorisierung, den Zugriffsrechten auf Dienste und Daten, nachzudenken.
Erreichen kann man das mit einem Identity Provider (IdP) – einem Service, der Informationen über Benutzerkonten für andere Dienste und Anwendungen bereitstellt, die die Informationen für sicherheitsrelevante Entscheidungen nutzen. Beispielsweise könnte eine Anwendung anhand gewisser autorisierender Merkmale prüfen, ob ein bestimmter Benutzer die Berechtigung hat, sie zu benutzen, oder ob er auf bestimmte Ressourcen zugreifen darf. Der IdP kann diese Informationen von existierenden Verzeichnisdiensten beziehen; alternativ kann er sie aus anderen IdPs übernehmen oder zusammenführen.
- Keycloak ist ein skalierbares, modular designtes Open-Source-Werkzeug zum Betrieb anpassbarer Identity Provider (IdP).
- Keycloak beherrscht viele Authentifizierungsmethoden und Protokolle. Bestehende Verzeichnisdienste lassen sich ĂĽber LDAP und Kerberos einbinden.
- Ăśber OIDC, SAML 2.0 und OAuth2 kann Keycloak mit externen IdPs zusammenarbeiten und als IdP-Broker fungieren.
- Keycloak bietet eine ausführliche Dokumentation und die Möglichkeit eigener Erweiterungen.
Vorstellen kann man sich einen IdP als eine Art Logistikzentrum für Identitäten und Berechtigungen: Benutzerinformationen werden beschafft, zusammengeführt und an Dienste und Anwendungen ausgeliefert. Zudem erlaubt der Einsatz eines IdP die Kontrolle über die Weitergabe von Benutzerattributen. Dazu kann auch die Bestätigung der Benutzer selbst gehören, dass sie mit deren Weitergabe überhaupt einverstanden sind. Werden alle Dienste und Anwendungen auf denselben IdP umgestellt, genügt ein einziger Anmeldevorgang, ein Single Sign-on, für alle Systeme, sowohl lokal als auch in der Cloud.
Das war die Leseprobe unseres heise-Plus-Artikels "Keycloak: Der anpassbare Identity Provider im Überblick". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
