403 весенний ботинок-2-ключ-адаптер плаща - PullRequest
Новая
       10

403 весенний ботинок-2-ключ-адаптер плаща

0 голосов
/ 22 мая 2018

У меня точно такая же проблема, как и здесь: Spring Boot - KeyCloak направлен на 403 запрещен Однако ответы на этот вопрос говорят о том, что роли, вероятно, не настроены или не назначены на сервере Keycloak, который находится в моемcase.

Угловое интерфейсное приложение, которое аутентифицирует пользователя на сервере keycloak.

Затем полученный токен передается в службу отдыха, разработанную с использованием spring-boot, с использованием keycloak-spring-boot-2-starter.

Вот в чем проблема: мой сервис берет токен, без проблем аутентифицирует его с помощью keycloak, но возвращает клиентское приложение 403.

Я отладил адаптер keycloakчтобы выяснить, что в основной записи, найденной в запросе (GenericPrincipal), отсутствует информация о роли (и пустой список).

На сервере keycloak я добавил роль в настройках области и назначил ее рольпользователь (есть только один пользователь).Пробовал роли клиента тоже (с use-resource-role-mappings: true), но та же проблема.

Вот моя конфигурация keycloak в application.yaml: 

keycloak:
  auth-server-url: http://localhost:8084/auth
  ssl-required: external
  realm: soccer-system
  resource: league-service
  bearer-only: true
  cors: true
  use-resource-role-mappings: false
  enabled: true
  credentials:
    secret: myClientKey
  security-constraints:
    0:
      auth-roles:
      - user
      security-collections:
        0:
          patterns:
          - /*

Версия сервера Keycloak - 3.4.3.Final

Я боролся за это два дня.Надеюсь, что кто-то там поставит меня на путь:)

Зависимости Maven: 

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <dependency>
        <groupId>org.keycloak</groupId>
        <artifactId>keycloak-spring-boot-2-starter</artifactId>
        <version>4.0.0.Beta2</version>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-test</artifactId>
        <scope>test</scope>
    </dependency>
</dependencies>

Отладка журналов с адаптера: 

2018-05-27 12:32:09.266 DEBUG 2607 --- [nio-8081-exec-1] o.k.adapters.PreAuthActionsHandler       : adminRequest http://localhost:8081/league
2018-05-27 12:32:09.273 DEBUG 2607 --- [nio-8081-exec-1] o.k.a.a.ClientCredentialsProviderUtils   : Using provider 'secret' for authentication of client 'league-service'
2018-05-27 12:32:09.275 DEBUG 2607 --- [nio-8081-exec-1] o.k.a.a.ClientCredentialsProviderUtils   : Loaded clientCredentialsProvider secret
2018-05-27 12:32:09.277 DEBUG 2607 --- [nio-8081-exec-1] o.k.a.a.ClientCredentialsProviderUtils   : Loaded clientCredentialsProvider jwt
2018-05-27 12:32:09.278 DEBUG 2607 --- [nio-8081-exec-1] o.k.a.a.ClientCredentialsProviderUtils   : Loaded clientCredentialsProvider secret-jwt
2018-05-27 12:32:09.279 DEBUG 2607 --- [nio-8081-exec-1] o.k.a.a.ClientCredentialsProviderUtils   : Loaded clientCredentialsProvider secret
2018-05-27 12:32:09.279 DEBUG 2607 --- [nio-8081-exec-1] o.k.a.a.ClientCredentialsProviderUtils   : Loaded clientCredentialsProvider jwt
2018-05-27 12:32:09.279 DEBUG 2607 --- [nio-8081-exec-1] o.k.a.a.ClientCredentialsProviderUtils   : Loaded clientCredentialsProvider secret-jwt
2018-05-27 12:32:09.484 DEBUG 2607 --- [nio-8081-exec-1] o.keycloak.adapters.KeycloakDeployment   : resolveUrls
2018-05-27 12:32:09.486 DEBUG 2607 --- [nio-8081-exec-1] o.k.adapters.KeycloakDeploymentBuilder   : Use authServerUrl: http://localhost:8084/auth, tokenUrl: http://localhost:8084/auth/realms/soccer-system/protocol/openid-connect/token, relativeUrls: NEVER
2018-05-27 12:32:09.486 DEBUG 2607 --- [nio-8081-exec-1] o.k.adapters.PreAuthActionsHandler       : checkCorsPreflight http://localhost:8081/league
2018-05-27 12:32:09.487 DEBUG 2607 --- [nio-8081-exec-1] o.k.adapters.PreAuthActionsHandler       : Preflight request returning
2018-05-27 12:32:09.495 DEBUG 2607 --- [nio-8081-exec-2] o.k.adapters.PreAuthActionsHandler       : adminRequest http://localhost:8081/league
2018-05-27 12:32:09.496 DEBUG 2607 --- [nio-8081-exec-2] o.k.adapters.PreAuthActionsHandler       : checkCorsPreflight http://localhost:8081/league
2018-05-27 12:32:09.593 TRACE 2607 --- [nio-8081-exec-2] o.k.adapters.RequestAuthenticator        : --> authenticate()
2018-05-27 12:32:09.593 TRACE 2607 --- [nio-8081-exec-2] o.k.adapters.RequestAuthenticator        : try bearer
2018-05-27 12:32:09.594 DEBUG 2607 --- [nio-8081-exec-2] o.k.a.BearerTokenRequestAuthenticator    : Verifying access_token
2018-05-27 12:32:09.637 TRACE 2607 --- [nio-8081-exec-2] o.k.a.BearerTokenRequestAuthenticator    :     access_token: eyJhbGciOiJSUzI1NiIsInR5cCIgOiAiSldUIiwia2lkIiA6ICI5LV92RjRCM21PS0JjQVdhSFlGc3VlVGthRzNEVHBqUThHS2NqTGpqY0pnIn0.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.signature
2018-05-27 12:32:09.697 TRACE 2607 --- [nio-8081-exec-2] o.k.a.rotation.JWKPublicKeyLocator       : Going to send request to retrieve new set of realm public keys for client league-service
2018-05-27 12:32:09.822 DEBUG 2607 --- [nio-8081-exec-2] o.k.a.rotation.JWKPublicKeyLocator       : Realm public keys successfully retrieved for client league-service. New kids: [9-_vF4B3mOKBcAWaHYFsueTkaG3DTpjQ8GKcjLjjcJg]
2018-05-27 12:32:09.823 DEBUG 2607 --- [nio-8081-exec-2] o.k.a.BearerTokenRequestAuthenticator    : successful authorized
2018-05-27 12:32:09.826 TRACE 2607 --- [nio-8081-exec-2] o.k.a.RefreshableKeycloakSecurityContext : checking whether to refresh.
2018-05-27 12:32:09.827 TRACE 2607 --- [nio-8081-exec-2] org.keycloak.adapters.AdapterUtils       : use realm role mappings
2018-05-27 12:32:09.827 TRACE 2607 --- [nio-8081-exec-2] org.keycloak.adapters.AdapterUtils       : Setting roles: 
2018-05-27 12:32:09.830 DEBUG 2607 --- [nio-8081-exec-2] o.k.adapters.RequestAuthenticator        : User '54b70eb6-731d-4cdb-9530-14ca411b78f8' invoking 'http://localhost:8081/league' on client 'league-service'
2018-05-27 12:32:09.830 DEBUG 2607 --- [nio-8081-exec-2] o.k.adapters.RequestAuthenticator        : Bearer AUTHENTICATED
2018-05-27 12:32:09.839  INFO 2607 --- [nio-8081-exec-2] o.a.c.c.C.[Tomcat].[localhost].[/]       : Initializing Spring FrameworkServlet 'dispatcherServlet'
2018-05-27 12:32:09.839  INFO 2607 --- [nio-8081-exec-2] o.s.web.servlet.DispatcherServlet        : FrameworkServlet 'dispatcherServlet': initialization started
2018-05-27 12:32:09.866  INFO 2607 --- [nio-8081-exec-2] o.s.web.servlet.DispatcherServlet        : FrameworkServlet 'dispatcherServlet': initialization completed in 27 ms

В режиме отладки яудалось получить токен, полученный от keycloak (декодированный), вот он: 

{
    "jti": "c9d8ebd4-1ea6-4191-ac03-32b047d6f80c",
    "exp": 1527441347,
    "nbf": 0,
    "iat": 1527441047,
    "iss": "http://localhost:8084/auth/realms/soccer-system",
    "aud": "league-organizer-app",
    "sub": "54b70eb6-731d-4cdb-9530-14ca411b78f8",
    "typ": "Bearer",
    "azp": "league-organizer-app",
    "nonce": "ac3e1024-9ce0-4a45-806b-8ec245905a3c",
    "auth_time": 1527440521,
    "session_state": "4df9e22b-141a-4970-98cc-cff57894814a",
    "acr": "0",
    "allowed-origins": [
        "*"
    ],
    "resource_access": {
        "account": {
            "roles": [
                "view-profile"
            ]
        }
    },
    "preferred_username": "thaUser"
}

UPDATE 1:

Я пытался с сервером keycloak версии 4.0.0.Beta2, чтобы соответствоватьадаптера.К сожалению, это не помогло.

ОБНОВЛЕНИЕ 2:

Я пытался указать ** в качестве ограничения роли в конфигурации, как предложено в комментарии, но это не помогло: 

security-constraints:
    0:
      auth-roles:
      - '**'
      security-collections:
        0:
          patterns:
          - /*

EDIT 1:

Добавлен вывод на консоль.Кажется, говорят, что роль не была установлена.Но у меня действительно есть те роли в моей области, которые назначены моему пользователю.

Edit 2:

Добавлен токен доступа, как видно из адаптера в отладке.

1 Ответ

0 голосов
/ 28 мая 2018

Мне наконец удалось это сделать.Проблема заключалась в том, что я не сопоставлял какую-либо роль с областью действия в конфигурации клиента клиентского приложения.Это сработало, когда я сделал.В конфигурации клиента (с которой пользователь проходит аутентификацию), вкладка «Область».Eighter активируйте опцию «Допустимая полная область» или выберите роли областей, которые вы хотите отобразить с помощью Keycloak.Выбранные роли будут сопоставлены с ролями пользователей и включены в токен.

Я просто не знал, что должен был это сделать.Тем не менее, спасибо за ваши комментарии, это было полезно.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.

Нет похожих вопросов

...