אחסון Keycloak: שרת התחברות אחת (SSO) משלכם

‏Keycloak הוא שרת קוד פתוח (Apache-2.0) לניהול זהויות והרשאות. האפליקציות שלכם מעבירות אליו את ההתחברות, והוא מטפל במשתמשים, בסיסמאות, באימות הדו-שלבי ובסשנים במקום אחד, כך שאנשים מתחברים פעם אחת ומגיעים לכל אפליקציה שחיברתם. בוחרים אותו עם חבילה, משלמים, ואנחנו מקימים את ה-VPS (‏KVM, ‏NVMe, ‏Ubuntu 24.04 LTS) ומתקינים אותו תוך כארבע דקות אחרי שהשרת עולה. מקבלים:

• ‏Keycloak 26.8.1 מה-image הרשמי, במצב production עם PostgreSQL 18 כמסד נתונים, ולא בהגדרת הפיתוח עם מסד נתונים מובנה לבדיקות.
• חשבון המנהל שלכם, קבוע מההתחלה. בעלייה הראשונה Keycloak יוצר מנהל זמני (bootstrap); ההתקנה משתמשת בו פעם אחת כדי ליצור את המנהל שלכם ב-realm הראשי (master) ואז מוחקת אותו, כך שהקונסולה לא מציגה אזהרת "temporary admin". מתחברים עם שם המשתמש והסיסמה שנוצרה אוטומטית ומוצגים בלוח הבקרה של Devoster.
• הרשמה עצמית כבויה ב-realm הראשי, כך שאף אחד שמגיע לכתובת לא יכול ליצור חשבון.
• כתובת HTTPS כמו sso-k3x9a2.devoster.app עם תעודת Let's Encrypt. הכתובות מתחילות ב-sso- ולא בשם המוצר.
• שליטה מלוח הבקרה: פתיחת קונסולת הניהול, איפוס סיסמת המנהל, ריסטארט, עצירה והפעלה, צפייה בלוגים, עדכון וחיבור דומיין משלכם.

האפליקציה בחינם; משלמים רק על חבילת ה-VPS, עם 10% הנחה בתשלום שנתי, ובלי תשלום לפי משתמש. השרת מגיע עם root מלא, גיבוי לילי חינם שנשמר 3 ימים ועוד Snapshot אחד, כתובת IPv4 ייעודית והגנת DDoS. כבר יש לכם VPS ב-Devoster? אפשר להתקין עליו את Keycloak מ-VPS Control, אחרי שהפאנל בודק את מערכת ההפעלה, שהפורטים 80/443 פנויים ואת הדיסק, או להתקין מחדש את השרת איתו, בלי תשלום. אפליקציות נוספות שמותקנות כך נמצאות בעמוד האפליקציות בלחיצה אחת.

פותחים את הכתובת ונכנסים לקונסולת הניהול ב-/admin. כל דבר ב-Keycloak שייך ל-realm: סט נפרד של משתמשים, קבוצות, תפקידים, הגדרות התחברות ואפליקציות מחוברות (שנקראות clients).

• השאירו את ה-realm הראשי (master) לניהול. חשבון המנהל שלכם נמצא בו ויכול לנהל כל realm. ההנחיה של Keycloak עצמו היא ליצור realm נפרד לאנשים שמתחברים לאפליקציות שלכם.
• צרו realm למשתמשים שלכם, ואז הוסיפו בו משתמשים, קבוצות ותפקידים. תפקידים וחברות בקבוצות יכולים לעבור לאפליקציות בתוך טוקן ההתחברות, כך שכל אפליקציה מחליטה מה מותר למי.
• אימות דו-שלבי מובנה: אפליקציות אימות (קודים חד-פעמיים) ומפתחות אבטחה מסוג WebAuthn, שאפשר להגדיר כרשות או כחובה בכל realm.
• מקורות זהות נוספים: ‏Keycloak יכול לאפשר התחברות דרך ספק זהויות חיצוני ב-OpenID Connect או ב-SAML, למשל חשבון Google או GitHub, ולקרוא משתמשים משרת LDAP או Active Directory שכבר רץ אצלכם.

ההרשמה העצמית כבויה ב-realm הראשי. ב-realm שלכם אתם מחליטים: להשאיר אותה כבויה וליצור חשבונות בעצמכם, או להפעיל הרשמת משתמשים בהגדרות ההתחברות של ה-realm אם הציבור אמור להירשם.

כל אפליקציה שתומכת ב-OpenID Connect או ב-SAML יכולה להשתמש ב-Keycloak להתחברות. הרבה אפליקציות באירוח עצמי תומכות, ביניהן Forgejo, ‏Grafana ו-BookStack. לכל אפליקציה יוצרים client ב-realm שלכם, מגדירים את כתובת ההפניה (redirect URL) שהאפליקציה נותנת, ומעתיקים את מזהה ה-client והסוד שלו להגדרות האפליקציה.

• כתובת ה-issuer של realm היא https://your-address/realms/your-realm, ואפליקציות שתומכות ב-discovery מוצאות ממנה את כל השאר.
• חברו קודם את הדומיין שלכם. ‏Keycloak בונה כל כתובת, כולל ה-issuer, מכתובת ציבורית אחת. אחרי שהדומיין שלכם מאומת הוא הופך לכתובת הזו, והשם ב-devoster.app מפנה אליו. אפליקציות שהוגדרו לפני המעבר שומרות את ה-issuer הישן בהגדרות שלהן וצריך לעדכן אותן, אז הוסיפו את הדומיין מלוח הבקרה (רשומת CNAME או A) לפני שמחברים אפליקציות.
• המכשירים שלכם ברשת פרטית: אם אתם מעדיפים שהאפליקציות הפנימיות לא יהיו ציבוריות בכלל, רשת VPN מסוג mesh כמו NetBird יכולה לחבר אותן, בזמן ש-Keycloak נשאר נגיש להתחברות.

‏Keycloak שולח מיילים לקישורי "Forgot password", לאימות כתובת ולחלק מהפעולות הנדרשות. פורטי הדואר היוצא חסומים כברירת מחדל בחבילות ה-VPS של Devoster ולא מוגדר שרת SMTP, אז מההתחלה:

• צרו משתמשים בקונסולת הניהול וקבעו לכל אחד סיסמה זמנית; ‏Keycloak יבקש מהם לבחור סיסמה משלהם בהתחברות הראשונה. אל תפעילו את "Verify email" עד שהדואר עובד.
• השאירו את "Forgot password" כבוי בהגדרות ההתחברות של ה-realm עד שהדואר עובד, כדי שלא יוצע למשתמשים קישור שלא יגיע. מנהל יכול לקבוע סיסמה חדשה לכל אחד בקונסולה.
• כדי לשלוח מיילים, הזינו את פרטי ה-SMTP של ספק המייל שלכם בהגדרות הדואר של ה-realm ובקשו מאיתנו לפתוח את פורט ה-submission שלו; הוא נפתח לפי בקשה אחרי אישור.

‏Keycloak הוא אפליקציית Java, ולכן הזיכרון חשוב יותר מהמעבד. ההתקנה קובעת את ה-heap של Java לפי החבילה, ומשאירה מקום ל-PostgreSQL על אותו שרת: בערך 512MB ב-Micro, ‏1GB ב-Starter וב-Basic, ו-2GB ב-Advanced.

במצב production ‏Keycloak מריץ שלב build קצר בכל עלייה, ולכן ריסטארט לוקח יותר זמן מאשר ברוב האפליקציות. אפשר לשדרג את החבילה מהפאנל בהמשך; ה-heap מתעדכן לחבילה החדשה בעדכון הבא.

עדכונים: אנחנו בודקים גרסאות חדשות של Keycloak ומחילים אותן בשעת תחזוקה שאתם בוחרים, או כשאתם לוחצים Update now. ‏Keycloak מעדכן את מבנה מסד הנתונים בעלייה הראשונה של גרסה חדשה. לפני כן נלקח Snapshot של ה-VPS, ואם Keycloak לא חוזר לפעול תקין השרת חוזר אחורה אוטומטית.

ננעלתם בחוץ? איפוס סיסמה בלוח הבקרה של Devoster משתמש בפקודת השחזור של Keycloak עצמו כדי לקבוע סיסמה חדשה לחשבון המנהל, ומנקה כל נעילה שנגרמה מניסיונות כושלים. ‏Keycloak נעצר לרגע בזמן שזה רץ.

גיבויים: הגיבויים הליליים (3 ימים) ומקום ה-Snapshot שלכם מכסים את כל ה-VPS. לעותק שנמצא בשליטתכם, אפשר גם לייצא את הגדרות ה-realm מקונסולת הניהול.

השרת לא מנוהל: יש לכם root מלא, והאבטחה שלו, ה-realms והמשתמשים שלכם באחריותכם. שרת התחברות שווה הקשחה; צ'קליסט ההקשחה שלנו ל-VPS מכסה מפתחות SSH ופיירוול. ‏Keycloak הוא פרויקט קוד פתוח של Cloud Native Computing Foundation; ‏Devoster אינה קשורה לפרויקט או ל-CNCF ואינה מקבלת מהם חסות או המלצה.