允许用户选择加入 MFA

Question

我已经能够利用 Keycloak 在“身份验证”中的“默认操作”部分强制新用户通过 Google Authenticator 设置 MFA。

但是，我只能为所有用户设置此必需，甚至无法启用。我正在寻找一种方法，允许用户在注册期间通过 OTP选择加入 MFA。

Answer 1

没有开箱即用的默认选项来实现此身份验证流程。

您可以创建自定义身份验证流程，其中包含要求用户执行 MFA 的步骤。

这可以使用 javascript 身份验证器 (https://www.keycloak.org/docs/latest/server_development/#_script_providers) 或 java 服务提供者接口来实现。 https://www.keycloak.org/docs/latest/server_development/#_auth_spi

Answer 2

我认为您需要使用身份验证 API，特别是用于扩展注册页面/表单的 API。

见：https://www.keycloak.org/docs/latest/server_development/#modifying-extending-the-registration-form

今晚我会试一试，并更新我的答案。