Keycloak: poskytovateľ identity OpenID Connect a mappery
Prihlásenie cez Dazr Identity: bezplatné OpenID Connect hostované v EÚ, s passkeys, kódmi e-mailom a účtami Google alebo Microsoft pod jedným tlačidlom.
Potrebujete tri hodnoty z vývojárskej konzoly: ID klienta, tajný kľúč klienta (len pri webových serverových aplikáciách) a URI presmerovania, ktoré ste zaregistrovali. Všetko ostatné je v dokumente discovery na adrese https://identity.dazr.eu/.well-known/openid-configuration.
Keycloak (identity brokering)
Ak sa vaše aplikácie už prihlasujú cez Keycloak, pridajte Dazr Identity ako poskytovateľa identity. Keycloak potom na svojej prihlasovacej stránke ukáže „Sign in with Dazr Identity“ a vaše aplikácie ďalej komunikujú s Keycloakom. V administračnej konzole Keycloak pre váš realm otvorte Identity providers, pridajte OpenID Connect v1.0 a vyplňte:
| Nastavenie | Hodnota |
|---|---|
| Alias | dazr (URI presmerovania na registráciu v Dazr je https://keycloak.example.eu/realms/<realm>/broker/dazr/endpoint) |
| Display name | Dazr Identity |
| Discovery endpoint | https://identity.dazr.eu/.well-known/openid-configuration |
| Client authentication | Client secret sent as basic auth |
| Client ID and Client secret | z vývojárskej konzoly Dazr (serverová webová aplikácia) |
| Use PKCE | zapnuté, metóda S256 |
| Validate signatures | zapnuté, s Use JWKS URL zapnutým a JWKS URL https://identity.dazr.eu/oauth/jwks |
| Scopes | openid profile email a navyše organisations, ak mapujete organizácie podľa návodu nižšie |
| Backchannel logout | vypnuté: Dazr Identity nemá back-channel logout. Odhlásenie prebieha cez prehliadač na https://identity.dazr.eu/oauth/logout. |
| Disable user info | vypnuté: mappery nižšie čítajú odpoveď user info |
| Trust email | zapnuté: Dazr vydáva len overené e-mailové adresy |
| Sync mode | Force, aby sa mená a roly aktualizovali pri každom prihlásení |
Keycloak prepojí sprostredkovaný účet s Dazr sub. First login flow nastavte na prepojenie existujúcich používateľov Keycloak podľa e-mailu, len ak váš realm e-mailové adresy sám overuje.
Mapovanie organizácií a rolí
Keď Keycloak sprostredkúva Dazr Identity (pozrite návod pre Keycloak), pridajte mappery na karte Mappers poskytovateľa identity, so sync mode Force. Keycloak tieto cesty číta z odpovede user info a cesta môže označiť jednu pozíciu v zozname: organisations[0] je prvá organizácia, ktorú osoba zaškrtla. Pre portál s jedným zákazníckym účtom na osobu to stačí; ak ľudia pracujú pre viac organizácií, nechajte ich zaškrtnúť jednu, alebo čítajte celý zoznam vo svojej aplikácii.
| Typ mappera | Claim | Výsledok |
|---|---|---|
| Attribute Importer | organisations[0].id | Používateľský atribút dazr_org_id: kľúč tenanta |
| Attribute Importer | organisations[0].name | Používateľský atribút dazr_org_name |
| Claim to Role | organisations[0].role, hodnota claimu owner | Rola realmu alebo klienta tenant_admin |
| Claim to Role | organisations[0].role, hodnota claimu admin | Rola realmu alebo klienta tenant_admin |
| Claim to Role | organisations[0].role, hodnota claimu member | Rola realmu alebo klienta tenant_user |
| Claim to Role | organisations[0].verification.status, hodnota claimu verified | Rola verified_business |
Potom pridajte mapper User Attribute pre dazr_org_id do client scope svojej aplikácie v Keycloaku, aby vaša aplikácia dostávala kľúč tenanta vo vlastných tokenoch Keycloaku, vedľa rolí.
sub je párový: rovnaký pre každú aplikáciu vašej organizácie, iný pre každú inú organizáciu. Pre danú osobu sa nikdy nemení, zatiaľ čo e-mailová adresa sa zmeniť môže. Ukladajte sub ako kľúč účtu a email berte ako kontaktný údaj.
Ďalšie informácie pre vývojárov
Dokumentácia pre vývojárovVšetci sprievodcovia integráciouĽubovoľná knižnica OpenID ConnectCeny