15 систем и 15 паролей: внедряем Keycloak SSO для IT-интегратора

Мы провели аудит всех 15 систем и классифицировали их по типу поддерживаемой аутентификации:

Хорошая новость: все критические системы поддерживают OIDC или SAML — стандартные протоколы SSO. Текущий LDAP-сервер (OpenLDAP на Ubuntu) содержит актуальную базу из 200 пользователей с группами по отделам.

Мы рассмотрели четыре варианта IdP (Identity Provider):

Выбор пал на Keycloak: зрелый open-source проект от Red Hat с 10+ годами production-эксплуатации, полной поддержкой OIDC и SAML 2.0, встроенной LDAP-федерацией и обширными возможностями кастомизации. Отсутствие подписки и лицензионных ограничений — важный фактор для IT-компании с 200 сотрудниками.

# /opt/keycloak/docker-compose.yml
version: '3.9'

services:
  postgres:
    image: postgres:16-alpine
    restart: always
    volumes:
      - /opt/keycloak/data/postgres:/var/lib/postgresql/data
    environment:
      POSTGRES_DB: keycloak
      POSTGRES_USER: keycloak
      POSTGRES_PASSWORD: ${KC_DB_PASSWORD}
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U keycloak"]
      interval: 10s
      timeout: 5s
      retries: 5
    networks:
      - keycloak-net

  keycloak:
    image: quay.io/keycloak/keycloak:26.0
    restart: always
    command: start
    depends_on:
      postgres:
        condition: service_healthy
    environment:
      # Database
      KC_DB: postgres
      KC_DB_URL: jdbc:postgresql://postgres:5432/keycloak
      KC_DB_USERNAME: keycloak
      KC_DB_PASSWORD: ${KC_DB_PASSWORD}

      # Hostname
      KC_HOSTNAME: auth.digitalflow.ru
      KC_HOSTNAME_STRICT: true
      KC_PROXY_HEADERS: xforwarded

      # HTTP
      KC_HTTP_ENABLED: true
      KC_HTTP_PORT: 8080
      KC_HEALTH_ENABLED: true
      KC_METRICS_ENABLED: true

      # Admin
      KC_BOOTSTRAP_ADMIN_USERNAME: ${KC_ADMIN_USER}
      KC_BOOTSTRAP_ADMIN_PASSWORD: ${KC_ADMIN_PASSWORD}

      # Features
      KC_FEATURES: token-exchange,admin-fine-grained-authz

      # Cache (Infinispan)
      KC_CACHE: ispn
      KC_CACHE_STACK: tcp

      # Logging
      KC_LOG_LEVEL: INFO
    ports:
      - "8080:8080"
    volumes:
      - /opt/keycloak/themes:/opt/keycloak/themes
      - /opt/keycloak/providers:/opt/keycloak/providers
    networks:
      - keycloak-net

  nginx:
    image: nginx:1.27-alpine
    restart: always
    ports:
      - "443:443"
      - "80:80"
    volumes:
      - /opt/keycloak/nginx/nginx.conf:/etc/nginx/nginx.conf:ro
      - /etc/letsencrypt:/etc/letsencrypt:ro
    depends_on:
      - keycloak
    networks:
      - keycloak-net

networks:
  keycloak-net:
    driver: bridge

# /opt/keycloak/nginx/nginx.conf
events {
    worker_connections 1024;
}

http {
    upstream keycloak_backend {
        server keycloak:8080;
    }

    # Redirect HTTP to HTTPS
    server {
        listen 80;
        server_name auth.digitalflow.ru;
        return 301 https://$server_name$request_uri;
    }

    server {
        listen 443 ssl http2;
        server_name auth.digitalflow.ru;

        ssl_certificate /etc/letsencrypt/live/auth.digitalflow.ru/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/auth.digitalflow.ru/privkey.pem;
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;

        # Security headers
        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
        add_header X-Content-Type-Options nosniff;
        add_header X-Frame-Options SAMEORIGIN;
        add_header X-XSS-Protection "1; mode=block";

        # Proxy settings
        proxy_buffer_size 128k;
        proxy_buffers 4 256k;
        proxy_busy_buffers_size 256k;

        location / {
            proxy_pass http://keycloak_backend;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
            proxy_set_header X-Forwarded-Port $server_port;
        }
    }
}

После запуска контейнеров Keycloak доступен по адресу https://auth.digitalflow.ru. Первичная настройка — создание realm и подключение LDAP.

# Keycloak Admin CLI (kcadm.sh) — для автоматизации
# Авторизация
/opt/keycloak/bin/kcadm.sh config credentials \
    --server https://auth.digitalflow.ru \
    --realm master \
    --user admin \
    --password "${KC_ADMIN_PASSWORD}"

# Создание realm
/opt/keycloak/bin/kcadm.sh create realms -s realm=digitalflow \
    -s enabled=true \
    -s displayName="ДиджиталФлоу" \
    -s loginTheme=digitalflow-theme \
    -s accountTheme=digitalflow-theme \
    -s emailTheme=digitalflow-theme \
    -s internationalizationEnabled=true \
    -s supportedLocales='["en","ru"]' \
    -s defaultLocale=ru \
    -s bruteForceProtected=true \
    -s maxFailureWaitSeconds=900 \
    -s failureFactor=5 \
    -s permanentLockout=false

# Настройка email для отправки уведомлений
/opt/keycloak/bin/kcadm.sh update realms/digitalflow \
    -s 'smtpServer.host=smtp.digitalflow.ru' \
    -s 'smtpServer.port=587' \
    -s 'smtpServer.starttls=true' \
    -s 'smtpServer.auth=true' \
    -s 'smtpServer.user=keycloak@digitalflow.ru' \
    -s 'smtpServer.password=SMTP_Password!' \
    -s 'smtpServer.from=keycloak@digitalflow.ru' \
    -s 'smtpServer.fromDisplayName=ДиджиталФлоу SSO'

Существующий OpenLDAP-сервер содержит 200 пользователей с группами. Keycloak будет федерировать (импортировать) их, сохраняя LDAP как источник истины:

# Создание LDAP Federation Provider
/opt/keycloak/bin/kcadm.sh create components -r digitalflow \
    -s name="OpenLDAP" \
    -s providerId=ldap \
    -s providerType=org.keycloak.storage.UserStorageProvider \
    -s 'config.vendor=["other"]' \
    -s 'config.connectionUrl=["ldap://ldap.digitalflow.local:389"]' \
    -s 'config.bindDn=["cn=admin,dc=digitalflow,dc=local"]' \
    -s 'config.bindCredential=["LDAP_Bind_Pass!"]' \
    -s 'config.usersDn=["ou=People,dc=digitalflow,dc=local"]' \
    -s 'config.userObjectClasses=["inetOrgPerson"]' \
    -s 'config.usernameLDAPAttribute=["uid"]' \
    -s 'config.uuidLDAPAttribute=["entryUUID"]' \
    -s 'config.rdnLDAPAttribute=["uid"]' \
    -s 'config.editMode=["READ_ONLY"]' \
    -s 'config.syncRegistrations=["false"]' \
    -s 'config.importEnabled=["true"]' \
    -s 'config.batchSizeForSync=["100"]' \
    -s 'config.fullSyncPeriod=["3600"]' \
    -s 'config.changedSyncPeriod=["60"]' \
    -s 'config.pagination=["true"]'

# Маппинг групп LDAP -> Keycloak
# В LDAP группы: developers, devops, analysts, managers, admins
# Автоматически создаём маппинг через UI:
# User Federation -> OpenLDAP -> Mappers -> Add mapper
# Type: group-ldap-mapper
# LDAP Groups DN: ou=Groups,dc=digitalflow,dc=local
# Group Object Classes: groupOfNames
# Membership LDAP Attribute: member
# Mode: READ_ONLY

# Запускаем первичную синхронизацию
# Admin Console -> User Federation -> OpenLDAP -> Synchronize all users
# Result: 200 users imported, 5 groups mapped

GitLab — главная система для разработчиков. 180 из 200 сотрудников используют его ежедневно:

# 1. Создаём OIDC-клиент в Keycloak
/opt/keycloak/bin/kcadm.sh create clients -r digitalflow \
    -s clientId=gitlab \
    -s name="GitLab" \
    -s enabled=true \
    -s protocol=openid-connect \
    -s publicClient=false \
    -s clientAuthenticatorType=client-secret \
    -s 'redirectUris=["https://gitlab.digitalflow.ru/users/auth/openid_connect/callback"]' \
    -s 'webOrigins=["https://gitlab.digitalflow.ru"]' \
    -s directAccessGrantsEnabled=false \
    -s standardFlowEnabled=true

# Получаем client secret
/opt/keycloak/bin/kcadm.sh get clients -r digitalflow -q clientId=gitlab --fields id,secret

# 2. Настраиваем GitLab (/etc/gitlab/gitlab.rb)
# gitlab.rb
gitlab_rails['omniauth_enabled'] = true
gitlab_rails['omniauth_allow_single_sign_on'] = ['openid_connect']
gitlab_rails['omniauth_sync_email_from_provider'] = 'openid_connect'
gitlab_rails['omniauth_sync_profile_from_provider'] = ['openid_connect']
gitlab_rails['omniauth_sync_profile_attributes'] = ['name', 'email']
gitlab_rails['omniauth_block_auto_created_users'] = false
gitlab_rails['omniauth_auto_link_ldap_user'] = true

gitlab_rails['omniauth_providers'] = [
  {
    name: "openid_connect",
    label: "Войти через SSO",
    args: {
      name: "openid_connect",
      scope: ["openid", "profile", "email"],
      response_type: "code",
      issuer: "https://auth.digitalflow.ru/realms/digitalflow",
      discovery: true,
      client_auth_method: "query",
      uid_field: "preferred_username",
      pkce: true,
      client_options: {
        identifier: "gitlab",
        secret: "GITLAB_CLIENT_SECRET_HERE",
        redirect_uri: "https://gitlab.digitalflow.ru/users/auth/openid_connect/callback"
      }
    }
  }
]

# Применяем конфигурацию
sudo gitlab-ctl reconfigure

# 1. Создаём OIDC-клиент в Keycloak для Grafana
/opt/keycloak/bin/kcadm.sh create clients -r digitalflow \
    -s clientId=grafana \
    -s name="Grafana" \
    -s enabled=true \
    -s protocol=openid-connect \
    -s publicClient=false \
    -s 'redirectUris=["https://grafana.digitalflow.ru/login/generic_oauth"]' \
    -s 'webOrigins=["https://grafana.digitalflow.ru"]' \
    -s standardFlowEnabled=true

# 2. Настраиваем Grafana (grafana.ini)
# /etc/grafana/grafana.ini
[auth.generic_oauth]
enabled = true
name = ДиджиталФлоу SSO
allow_sign_up = true
auto_login = false
client_id = grafana
client_secret = GRAFANA_CLIENT_SECRET_HERE
scopes = openid profile email roles
auth_url = https://auth.digitalflow.ru/realms/digitalflow/protocol/openid-connect/auth
token_url = https://auth.digitalflow.ru/realms/digitalflow/protocol/openid-connect/token
api_url = https://auth.digitalflow.ru/realms/digitalflow/protocol/openid-connect/userinfo
role_attribute_path = contains(realm_access.roles[*], 'grafana-admin') && 'Admin' || contains(realm_access.roles[*], 'grafana-editor') && 'Editor' || 'Viewer'
allow_assign_grafana_admin = true

[auth]
oauth_auto_login = false
disable_login_form = false  # Оставляем локальный вход для admin

Обратите внимание на role_attribute_path — это JMESPath-выражение, которое маппит роли Keycloak на роли Grafana. Группа devops в LDAP автоматически получает роль grafana-admin в Keycloak, что транслируется в Admin-доступ в Grafana.

# 1. Создаём OIDC-клиент в Keycloak для Nextcloud
/opt/keycloak/bin/kcadm.sh create clients -r digitalflow \
    -s clientId=nextcloud \
    -s name="Nextcloud" \
    -s enabled=true \
    -s protocol=openid-connect \
    -s publicClient=false \
    -s 'redirectUris=["https://cloud.digitalflow.ru/apps/oidc_login/oidc"]' \
    -s 'webOrigins=["https://cloud.digitalflow.ru"]' \
    -s standardFlowEnabled=true

# 2. Устанавливаем и настраиваем приложение oidc_login в Nextcloud
# Через occ:
sudo -u www-data php /var/www/nextcloud/occ app:install oidc_login

# config.php
'oidc_login_client_id' => 'nextcloud',
'oidc_login_client_secret' => 'NEXTCLOUD_CLIENT_SECRET',
'oidc_login_provider_url' => 'https://auth.digitalflow.ru/realms/digitalflow',
'oidc_login_auto_redirect' => false,
'oidc_login_logout_url' => 'https://auth.digitalflow.ru/realms/digitalflow/protocol/openid-connect/logout?client_id=nextcloud&post_logout_redirect_uri=https://cloud.digitalflow.ru',
'oidc_login_button_text' => 'Войти через SSO',
'oidc_login_hide_password_form' => false,
'oidc_login_attributes' => [
    'id' => 'preferred_username',
    'name' => 'name',
    'mail' => 'email',
    'groups' => 'groups',
],
'oidc_login_default_group' => 'oidc',
'oidc_create_groups' => true,

# Включаем обязательную 2FA через Authentication Flow
/opt/keycloak/bin/kcadm.sh update realms/digitalflow \
    -s 'otpPolicyType=totp' \
    -s 'otpPolicyAlgorithm=HmacSHA256' \
    -s 'otpPolicyDigits=6' \
    -s 'otpPolicyPeriod=30' \
    -s 'otpPolicyCodeReusable=false' \
    -s 'otpPolicyInitialCounter=0' \
    -s 'otpPolicyLookAheadWindow=1'

# Создаём кастомный Authentication Flow с обязательным OTP
# Admin Console -> Authentication -> Flows -> Create flow
# Flow name: "Browser with Required OTP"
# Steps:
#   1. Cookie (Alternative)
#   2. Identity Provider Redirector (Alternative)
#   3. Forms (Alternative)
#      3.1 Username Password Form (Required)
#      3.2 OTP Form (Required)   <-- Ключевое отличие: Required, а не Conditional

# Назначаем новый flow как Browser Flow
/opt/keycloak/bin/kcadm.sh update realms/digitalflow \
    -s 'browserFlow=Browser with Required OTP'

# При первом входе пользователь увидит экран настройки TOTP:
# 1. Отсканировать QR-код через Google Authenticator / FreeOTP
# 2. Ввести 6-значный код для подтверждения
# 3. Сохранить recovery codes

Мы развернули 2FA поэтапно: первую неделю — необязательная (Conditional), давая сотрудникам время настроить. Со второй недели — обязательная для всех без исключения.

# Настройка защиты от перебора паролей (уже включено при создании realm)
/opt/keycloak/bin/kcadm.sh update realms/digitalflow \
    -s bruteForceProtected=true \
    -s failureFactor=5 \
    -s maxDeltaTimeSeconds=43200 \
    -s maxFailureWaitSeconds=900 \
    -s minimumQuickLoginWaitSeconds=60 \
    -s waitIncrementSeconds=60 \
    -s quickLoginCheckMilliSeconds=1000 \
    -s permanentLockout=false

# Параметры:
# failureFactor=5 — блокировка после 5 неудачных попыток
# maxFailureWaitSeconds=900 — максимальное время блокировки 15 минут
# waitIncrementSeconds=60 — увеличение времени блокировки с каждой попыткой
# permanentLockout=false — не блокировать навсегда (иначе DoS)

# Дополнительно: настройка Content Security Policy
/opt/keycloak/bin/kcadm.sh update realms/digitalflow \
    -s 'browserSecurityHeaders.contentSecurityPolicy="frame-src '\''self'\''; frame-ancestors '\''self'\''; object-src '\''none'\'';"' \
    -s 'browserSecurityHeaders.xContentTypeOptions=nosniff' \
    -s 'browserSecurityHeaders.xRobotsTag=none' \
    -s 'browserSecurityHeaders.strictTransportSecurity=max-age=31536000; includeSubDomains'

Страница логина — «лицо» SSO. Мы разработали кастомную тему с логотипом и цветами ДиджиталФлоу:

# Структура темы Keycloak
/opt/keycloak/themes/digitalflow-theme/
├── login/
│   ├── theme.properties
│   ├── resources/
│   │   ├── css/
│   │   │   └── login.css
│   │   └── img/
│   │       ├── logo.svg
│   │       └── bg.jpg
│   └── messages/
│       └── messages_ru.properties
├── account/
│   └── theme.properties
└── email/
    ├── theme.properties
    └── messages/
        └── messages_ru.properties

# /opt/keycloak/themes/digitalflow-theme/login/theme.properties
parent=keycloak.v2
import=common/keycloak
styles=css/login.css
locales=en,ru

# /opt/keycloak/themes/digitalflow-theme/login/resources/css/login.css
:root {
    --pf-v5-global--primary-color--100: #2563eb;  /* Brand blue */
    --pf-v5-global--primary-color--200: #1d4ed8;
}

.login-pf body {
    background: url('../img/bg.jpg') no-repeat center center fixed;
    background-size: cover;
}

#kc-header-wrapper {
    font-family: 'Inter', sans-serif;
    font-size: 28px;
    color: #ffffff;
    text-shadow: 2px 2px 4px rgba(0,0,0,0.3);
}

/* Custom logo */
.kc-logo-text {
    background-image: url('../img/logo.svg');
    background-size: contain;
    width: 200px;
    height: 60px;
}

# Русификация кнопки логина
# messages_ru.properties
loginAccountTitle=Вход в систему ДиджиталФлоу
loginTitle=Единый вход (SSO)
doLogIn=Войти
usernameOrEmail=Имя пользователя или email

Для HA мы развернули два экземпляра Keycloak за load balancer с общей базой PostgreSQL (которая, в свою очередь, работает в режиме streaming replication):

# docker-compose.ha.yml — расширение для HA
version: '3.9'

services:
  keycloak-1:
    image: quay.io/keycloak/keycloak:26.0
    command: start
    environment:
      # ... (общие переменные из основного compose)
      KC_CACHE: ispn
      KC_CACHE_STACK: tcp
      JAVA_OPTS_APPEND: >-
        -Djgroups.dns.query=keycloak-headless
        -Djgroups.dns.record=A
    networks:
      - keycloak-net

  keycloak-2:
    image: quay.io/keycloak/keycloak:26.0
    command: start
    environment:
      # ... (идентичные переменные)
      KC_CACHE: ispn
      KC_CACHE_STACK: tcp
      JAVA_OPTS_APPEND: >-
        -Djgroups.dns.query=keycloak-headless
        -Djgroups.dns.record=A
    networks:
      - keycloak-net

  nginx:
    # Load balancer между keycloak-1 и keycloak-2
    volumes:
      - ./nginx-ha.conf:/etc/nginx/nginx.conf:ro

# nginx-ha.conf — upstream с обоими экземплярами
# upstream keycloak_backend {
#     least_conn;
#     server keycloak-1:8080;
#     server keycloak-2:8080;
# }

Infinispan (встроенный кэш Keycloak) обеспечивает репликацию сессий между экземплярами. При падении одного — пользователи не теряют сессию, второй экземпляр продолжает обслуживать запросы.

#!/bin/bash
# /opt/keycloak/scripts/backup.sh
# Ежедневный бэкап Keycloak (БД + конфигурация + темы)

DATE=$(date +%Y%m%d_%H%M%S)
BACKUP_DIR="/backup/keycloak/${DATE}"
mkdir -p "${BACKUP_DIR}"

# 1. Дамп PostgreSQL
docker compose -f /opt/keycloak/docker-compose.yml exec -T postgres \
    pg_dump -U keycloak -Fc keycloak > "${BACKUP_DIR}/keycloak_db.dump"

# 2. Экспорт realm через Keycloak CLI
docker compose -f /opt/keycloak/docker-compose.yml exec -T keycloak \
    /opt/keycloak/bin/kc.sh export --dir /tmp/export --realm digitalflow
docker compose -f /opt/keycloak/docker-compose.yml cp keycloak:/tmp/export "${BACKUP_DIR}/realm-export/"

# 3. Копия кастомных тем и провайдеров
cp -r /opt/keycloak/themes "${BACKUP_DIR}/themes/"
cp -r /opt/keycloak/providers "${BACKUP_DIR}/providers/"

# 4. Docker Compose файлы
cp /opt/keycloak/docker-compose.yml "${BACKUP_DIR}/"
cp /opt/keycloak/.env "${BACKUP_DIR}/"

# 5. Сжимаем
tar czf "/backup/keycloak/keycloak_${DATE}.tar.gz" -C "${BACKUP_DIR}" .
rm -rf "${BACKUP_DIR}"

# 6. Удаляем бэкапы старше 30 дней
find /backup/keycloak -name '*.tar.gz' -mtime +30 -delete

echo "Backup completed: keycloak_${DATE}.tar.gz ($(du -h /backup/keycloak/keycloak_${DATE}.tar.gz | awk '{print $1}'))"

# Crontab: 0 3 * * * /opt/keycloak/scripts/backup.sh >> /var/log/keycloak-backup.log 2>&1

#!/bin/bash
# /opt/scripts/onboard_user.sh
# Создание пользователя в LDAP (автоматически синхронизируется в Keycloak)

USERNAME=$1
FULLNAME=$2
EMAIL=$3
DEPARTMENT=$4  # developers, devops, analysts, managers

# 1. Создаём пользователя в LDAP
ldapadd -x -D "cn=admin,dc=digitalflow,dc=local" -W <