Cet article explique comment configurer Keycloak en tant que fournisseur de Single Sign-On (SSO) unique pour les utilisateurs SDP et les administrateurs de l'Application de Management Cato (CMA).
SSO s'appuie sur un jeton chiffré de Cato et de votre IdP pour valider que l'utilisateur est authentifié et autorisé à se connecter au réseau. Pour plus de détails, consultez Authentification SSO pour les Utilisateurs avec Cato.
Présentation
Vous pouvez configurer Keycloak en tant que fournisseur SSO pour centraliser l'authentification des administrateurs CMA et des utilisateurs distants connectés avec le Client Cato. Cette intégration améliore la sécurité des comptes et simplifie la gestion des identités en imposant la connexion avec les identifiants Keycloak.
Assurez-vous que l'adresse e-mail de chaque utilisateur et administrateur dans Cato correspond à l'e-mail correspondant dans Keycloak.
Une fois le SSO activé, les administrateurs doivent s'authentifier via Keycloak pour accéder à la CMA, et les administrateurs et utilisateurs doivent s'authentifier via Keycloak pour se connecter avec le Client Cato.
Configuration de Keycloak en tant que fournisseur SSO
Suivez ces étapes pour configurer Keycloak en tant que fournisseur SSO:
Ajoutez Cato en tant que client Keycloak dans votre console d'administration Keycloak
Entrez les détails de votre hôte Keycloak dans la CMA
Étape 1 : Ajouter Cato en tant que client Keycloak
Dans la console d'administration Keycloak, ajoutez Cato en tant que client. Autoriser les URIs Cato dans le cadre de la configuration de Cato en tant que client. Vous aurez besoin de ces valeurs pour la CMA à l'étape 2:
Client ID
Clé secrète du client
Cette procédure réfère à la console Keycloak, sujette à changement. Pour lire la documentation Keycloak la plus récente, voir Gestion des serveurs de ressources.
Pour ajouter Cato en tant que client Keycloak:
Dans Keycloak, allez à Clients > Créer Client.
Dans l'onglet Paramètres généraux, entrez les paramètres de base, y compris un ID client. Vous aurez besoin de l'ID client pour intégrer avec Cato plus tard.
Dans l'onglet Configuration des capacités, assurez-vous que Authentification client est activée.
Dans l'onglet Paramètres de connexion, entrez les URIs Cato suivants dans URIs de redirection valides:
https://sso.via.catonetworks.com/auth_results
https://sso.ias.catonetworks.com/auth_results
https://sso.proxy.catonetworks.com/auth_results
https://169.254.255.254/auth_results
https://auth.catonetworks.com/oauth2/broker/code/keycloak
https://auth.in1.catonetworks.com/oauth2/broker/code/keycloak
https://auth.jp1.catonetworks.com/oauth2/broker/code/keycloak
https://auth.us1.catonetworks.com/oauth2/broker/code/keycloak
https://auth.catonetworks.com/endsession/*
https://auth.in1.catonetworks.com/endsession/*
https://auth.jp1.catonetworks.com/endsession/*
https://auth.us1.catonetworks.com/endsession/*
Cliquez sur Sauvegarder pour créer le client Keycloak.
Allez dans la zone Client et cliquez sur le client que vous venez de créer.
Accédez à l'onglet Informations d'identification et copiez le Secret Client. Vous aurez besoin de cette valeur lorsque vous créez le fournisseur SSO dans la CMA.
Étape 2 : Configurez Keycloak comme votre fournisseur SSO
Dans la CMA, entrez les détails de votre client Keycloak que vous avez créé à l'étape précédente:
URL de Keycloak
ID du client
Clé Secrète du Client
La valeur pour l'URL de Keycloak est le début de l'URL jusqu'à la fin du nom de domaine, sans HTTPS.
Par exemple, si l'URL que vous utilisez pour accéder à Keycloak est https://keycloak.example.com/realms/myRealm/.well-known/openid-configuration, vous entreriez keycloak.example.com/realms/myRealm comme votre URL de Keycloak.
Cato prend en charge l'utilisation de plusieurs IdP pour SSO pour votre compte. Seul le fournisseur SSO par défaut est utilisé pour les administrateurs CMA, assurez-vous de définir Keycloak comme méthode d'authentification Défaut.
Pour configurer Keycloak comme votre fournisseur SSO:
Dans la CMA, depuis le menu de navigation, cliquez sur Accès > Authentification Unique.
Cliquez sur Nouveau.
Depuis le Fournisseur d'Identité menu déroulant, sélectionnez Keycloak.
Entrez un Nom pour identifier cette intégration.
Entrez votre URL Keycloak sans le préfixe de protocole et seulement jusqu'à votre nom de domaine.
Entrez le Client ID et Clé secrète du client qui ont été créés à l'étape 1.
Activez le basculement Défaut pour utiliser Keycloak comme unique fournisseur SSO pour les administrateurs CMA.
Cliquez Appliquer.
Limitations Connues
La version Red Hat de Keycloak n'est pas prise en charge pour le SSO