Keycloak: poskytovatel identity OpenID Connect a mappery
Přihlášení přes Dazr Identity: bezplatné OpenID Connect hostované v EU, s passkeys, kódy e-mailem a účty Google nebo Microsoft pod jedním tlačítkem.
Potřebujete tři hodnoty z vývojářské konzole: ID klienta, tajný klíč klienta (jen u webových serverových aplikací) a URI přesměrování, které jste zaregistrovali. Vše ostatní je v dokumentu discovery na adrese https://identity.dazr.eu/.well-known/openid-configuration.
Keycloak (identity brokering)
Pokud se vaše aplikace už přihlašují přes Keycloak, přidejte Dazr Identity jako poskytovatele identity. Keycloak pak na své přihlašovací stránce ukáže „Sign in with Dazr Identity“ a vaše aplikace dál komunikují s Keycloakem. V administrační konzoli Keycloak pro váš realm otevřete Identity providers, přidejte OpenID Connect v1.0 a vyplňte:
| Nastavení | Hodnota |
|---|---|
| Alias | dazr (URI přesměrování k registraci u Dazr je https://keycloak.example.eu/realms/<realm>/broker/dazr/endpoint) |
| Display name | Dazr Identity |
| Discovery endpoint | https://identity.dazr.eu/.well-known/openid-configuration |
| Client authentication | Client secret sent as basic auth |
| Client ID and Client secret | z vývojářské konzole Dazr (serverová webová aplikace) |
| Use PKCE | zapnuto, metoda S256 |
| Validate signatures | zapnuto, s Use JWKS URL zapnutým a JWKS URL https://identity.dazr.eu/oauth/jwks |
| Scopes | openid profile email a navíc organisations, pokud mapujete organizace podle návodu níže |
| Backchannel logout | vypnuto: Dazr Identity nemá back-channel logout. Odhlášení probíhá přes prohlížeč na https://identity.dazr.eu/oauth/logout. |
| Disable user info | vypnuto: mappery níže čtou odpověď user info |
| Trust email | zapnuto: Dazr vydává jen ověřené e-mailové adresy |
| Sync mode | Force, aby se jména a role aktualizovaly při každém přihlášení |
Keycloak propojí zprostředkovaný účet s Dazr sub. First login flow nastavte na propojení existujících uživatelů Keycloak podle e-mailu, jen pokud váš realm e-mailové adresy sám ověřuje.
Mapování organizací a rolí
Když Keycloak zprostředkovává Dazr Identity (viz návod pro Keycloak), přidejte mappery na kartě Mappers poskytovatele identity, se sync mode Force. Keycloak tyto cesty čte z odpovědi user info a cesta může označit jednu pozici v seznamu: organisations[0] je první organizace, kterou osoba zaškrtla. Pro portál s jedním zákaznickým účtem na osobu to stačí; pokud lidé pracují pro více organizací, nechte je zaškrtnout jednu, nebo čtěte celý seznam ve své aplikaci.
| Typ mapperu | Claim | Výsledek |
|---|---|---|
| Attribute Importer | organisations[0].id | Uživatelský atribut dazr_org_id: klíč tenanta |
| Attribute Importer | organisations[0].name | Uživatelský atribut dazr_org_name |
| Claim to Role | organisations[0].role, hodnota claimu owner | Role realmu nebo klienta tenant_admin |
| Claim to Role | organisations[0].role, hodnota claimu admin | Role realmu nebo klienta tenant_admin |
| Claim to Role | organisations[0].role, hodnota claimu member | Role realmu nebo klienta tenant_user |
| Claim to Role | organisations[0].verification.status, hodnota claimu verified | Role verified_business |
Pak přidejte mapper User Attribute pro dazr_org_id do client scope své aplikace v Keycloaku, aby vaše aplikace dostávala klíč tenanta ve vlastních tokenech Keycloaku, vedle rolí.
sub je párový: stejný pro každou aplikaci vaší organizace, jiný pro každou jinou organizaci. Pro danou osobu se nikdy nemění, zatímco e-mailová adresa se změnit může. Ukládejte sub jako klíč účtu a email berte jako kontaktní údaj.
Další informace pro vývojáře
Dokumentace pro vývojářeVšechny průvodce integracíLibovolná knihovna OpenID ConnectCeny