Настройка параметров работы по SSO в Keycloak

Если в качестве службы идентификации используется Keycloak, необходимо настроить параметры работы по SSO для следующих процессов:

• Перенаправление пользователя в Kaspersky Container Security после успешной аутентификации в IdP.
• Определение и сопоставление атрибутов claims для токена в IdP.

  При авторизации внешнего пользователя по SSO решение получит от IdP токен пользователя, в котором в соответствующих атрибутах claims указаны все необходимые данные пользователя (например, группы в IdP).

• Отправка запросов на завершение сессии пользователя SSO.
• Авторизация типа Client Credentials Grant.

Для настройки параметров работы по SSO с Keycloak решению необходимо быть клиентом Keycloak.
Значения параметров указываются пользователем Keycloak с правами администратора.

Чтобы перенаправить пользователя в Kaspersky Container Security после успешной аутентификации в Keycloak:

1. В веб-интерфейсе Keycloak в главном меню в левой панели выберите Clients.
2. На вкладке Settings перейдите в блок Access settings.
3. В поле Valid redirect URLs укажите значение URL следующим образом:

   https://<адрес, заданный для консоли управления Kaspersky Container Security>/auth

4. Нажмите Save.

Чтобы определить и сопоставить атрибуты claims для токена в Keycloak:

1. В веб-интерфейсе Keycloak в главном меню в левой панели выберите Clients → Client scopes.
2. Выберите Profile.
3. Перейдите на вкладку Mappers и для добавления сопоставления нажмите Add mapper → By configuration.
4. В открывшейся боковой панели определите значения атрибутов следующим образом:
   • В поле Mapper type укажите Group Membership.
   • В поле Name введите groups.
   • В поле Token Claim Name укажите groups.
   • С помощью переключателя On/Off установите значение Off для параметра Full group path.
5. Нажмите Save.

Чтобы отправлять запросы на завершение сессии пользователя SSO в Kaspersky Container Security:

1. В веб-интерфейсе Keycloak в главном меню в левой панели выберите Clients.
2. На вкладке Settings перейдите в блок Logout settings.
3. В поле Backchannel logout URL укажите значение URL следующим образом:

   https://<адрес, заданный для консоли управления Kaspersky Container Security>/api/external/auth/integration/sso/backchannel-logout

4. С помощью переключателя On/Off установите значение On для параметра Backchannel logout session required.
5. Нажмите Save.

Чтобы настроить параметры авторизации типа Client Credentials Grant:

1. В веб-интерфейсе Keycloak в главном меню в левой панели выберите Clients.
2. На вкладке Settings перейдите в блок Capability config.
3. С помощью переключателя On/Off установите значение On для параметра Client authentication.
4. Включите поддержку Client Credentials Grant для Kaspersky Container Security с помощью флажка, указав значение Standard flow и Service accounts roles для Authentication flow.
5. Нажмите Save.