“限制身份验证会话”如何在 keycloak 中工作

Question

我正在使用 Keycloak 来保护我的应用程序。我有一个请求限制每个用户的会话数，然后我找到了这个并尝试了https://github.com/keycloak/keycloak-documentation/blob/master/server_admin/topics/threat/auth-sessions-limit.adoc

我有一个名为“rxnlab”的用户，我将 authSessionsLimit 设置为 3。我希望我可以仅与该用户进行 3 次会话，但事实是会话是无限的, 我可以建立任意数量的连接。以下截图显示有 10 个活动会话，其中 5 个是 rxnlab（第一页显示 3 个）

我有两个问题：

1. 这是限制每个用户会话的正确配置吗？
2. 如果不是，这个配置有什么作用？

Answer 1

这里说，每当您打开登录页面时，它都会启动一个新的身份验证会话，但这并不意味着用户已获得访问权限。

这让您不必在无数次会话上花费内存。

所有会话都依赖于特定的客户端，您可以为用户管理会话时间和其他事情。

请记住，可以按领域管理会话的生存时间