在 Spring Boot 中使用 Keycloak 实现 JWT、JWE 和 JWS（签名 JWT）

Question

我尝试使用 Spring Boot 和 Keycloak 作为 AuthService 实现一个简单的 OAuth2“带有签名 JWT 的客户端身份验证”演示应用程序。

想法是：

1. 一个安全的 REST 服务“生产者”
   • 为角色为“read_person”的所有用户/主体提供端点 GET /person
   • 为角色为“write_person”的所有用户/主体提供端点 POST /person
2. 另一个（不安全的）REST 服务“消费者”
   • 提供对所有人开放的 enpoint /api
   • 通过Feignclient 调用内部“生产者”，使用 RequestInterceptor 传递 AccessToken（签名的 JWT / JWS）

我阅读了有关文档：

http://www.keycloak.org/docs/latest/securing_apps/topics/oidc/java/client-authentication.html

说：

一旦客户端应用程序启动，它允许使用http://myhost.com/myapp/k_jwks 等URL 以JWKS 格式下载其公共> 密钥，>假设http://myhost.com/myapp 是您的客户端> 应用程序的基本URL。这个 URL 可以被 Keycloak 使用（见下文）。

在身份验证期间，客户端生成一个 JWT 令牌并使用 >其私钥对其进行签名，然后在 client_assertion >参数中的特定反向通道 >request（例如，代码到令牌请求）中将其发送到 Keycloak。

我在谷歌上搜索了很多关于这个主题的教程/演示或文档，但到目前为止都失败了。 所以这里是我的问题：

1. 如何实现这个“k_jwk”端点？我是否可以自己在“制作人”中简单地构建一个@RestController？如何配置 Keycloak 以了解此 URL？

2. 如何实现我的“消费者”以从 Keycloak 获取新签名的 JWT？

更新 删除了恼人的 PS 声明。

Answer 1

1. 您不需要实现 k_jwk 端点，这是由适配器处理的。默认情况下，Keycloak 将查看 http:///your.app.com/k_jwk（但如果需要，您可以在控制台中覆盖它）。 然后你需要配置你的 Spring Boot 客户端，只需使用与 keycloak.json 相同的属性，但格式为 application.properties：

   ...

   keycloak.credentials.jwt.client-keystore-file=classpath:keystore-client.jks keycloak.credentials.jwt.client-keystore-type=JKS

   等等……

2. 您需要一个令牌来调用producer，但正如您所说，入口点将是一个不安全的端点，因此您可能希望为此使用Service Account。

我希望这会有所帮助。

Answer 2

更新

我无法解决这个问题，但同时学到了一些关于singned JWT的东西：

1. 通过自己创建一个包含所有必要声明（sub、nbf、exp ...）的 Json 结构并使用来自 Keycloak 的 JKS/私钥对其进行签名/认证，从而创建一个所谓的“不记名令牌”。 Keycloak 旁边有一些不错的第三方库可以做到这一点。

2. 要从 Keycloak 获取真正的 AccessToken (JWE/JWS)：在 /auth/realms/$realm/protocol/openid-connect/token/introspect 处将此静态最终承载令牌发送到 Keycloak em>

使用查询参数：

grant_type=client_credentials&client_assertion_type=urn%3Aietf%3Aparams%3Aoauth%3Aclient-assertion-type%3Ajwt-bearer&client_assertion=$BEARER_TOKEN

1. 使用接收到的真实AccessToken访问ResourceServer...