keycloak SLO

Question

안녕하세요. 현재 keycloak으로 SSO 연동을 시도하고 있는데 단일 로그아웃(SLO) 부분에 대해 의견을 듣고자 글을 올립니다.A, B, C 오픈소스를 제품을 사용하고 있습니다. 모두 keycloak으로 SSO 연동을 완료한 상태이고A, B, C에서 모두 로그인을 한 이후에 A에서 로그아웃을 시도하면 B, C 제품 모두 로그아웃이 되도록 만들고 싶습니다.현재, 각 애플리케이션을 로그인 시 keycloak 토큰 정보를 기반으로 애플리케이션의 세션을 생성하는 방식으로 동작하고 있습니다. 이게 각 애플리케이션마다 각 세션이 따로따로 생기고 keycloak에서는 이 세션, 토큰들을 관리할 수 없기 때문에 각 애플리케이션에서 지정한 timeout시간이후에 세션 만료가 될 수 있는데... 그러면 로그아웃이 되었다고는 볼 수가 없어서요Frontchannel Logout이나 Backchannel Logout 방식으로도 시도를 해봤는데 잘 몰라서 그런지 브라우저 환경에 따라, 또 위와 같은 문제때문에 SLO가 안되는 것 같습니다.혹시 SLO가 될 수 있게 해결할 방법이 있을까요

삽살개발 · Answer

재밌네요. 도움이 되었으면 좋겠네요Keycloak을 이용한 SSO(Single Sign-On)와 SLO(Single Logout) 구현에 대해 궁금하신 점에 대해 답변드리겠습니다.Keycloak을 이용한 SLO를 구현하려면 기본적으로 세 가지 방법이 있습니다:1. Frontchannel Logout동작 방식: Keycloak이 로그아웃 요청을 할 때 브라우저를 통해 각 클라이언트 애플리케이션의 로그아웃 URL을 순차적으로 호출합니다.장점: 비교적 간단하게 구현 가능하며 Keycloak 설정만으로도 활성화할 수 있습니다.단점: 브라우저 기반이기 때문에 네트워크 환경이나 브라우저의 특성에 영향을 받을 수 있으며, 만약 사용자가 브라우저 창을 닫아버리거나 로그아웃 요청이 제대로 전파되지 않으면 일부 애플리케이션에서 세션이 유지될 수 있습니다.2. Backchannel Logout동작 방식: Keycloak이 각 클라이언트 애플리케이션에 HTTP POST 요청을 보내서 로그아웃을 처리합니다. 이는 브라우저가 아닌 서버 간의 통신을 통해 이루어지므로, 네트워크 환경에 영향을 덜 받습니다.장점: 브라우저에 의존하지 않으며 신뢰할 수 있는 로그아웃을 구현할 수 있습니다.단점: 각 클라이언트 애플리케이션에서 로그아웃 URL을 설정하고, 이 URL이 인증된 Keycloak 요청만 처리하도록 해야 합니다.3. Token Introspection을 활용한 방법동작 방식: 각 애플리케이션에서 주기적으로 Keycloak에 Access Token이나 Refresh Token을 검사(Token Introspection)하여 유효성을 확인합니다. 만약 토큰이 무효화되면 해당 애플리케이션의 세션을 만료시킵니다.장점: 애플리케이션이 Keycloak의 상태를 지속적으로 반영하므로 로그아웃 일관성을 유지할 수 있습니다.단점: 추가적인 서버 요청이 필요하므로 성능에 영향을 줄 수 있으며, 주기적인 검사가 필요합니다.제안 사항현재 상황을 고려할 때 Backchannel Logout 방식이 가장 적합할 가능성이 높습니다. 이유는:애플리케이션 세션이 독립적으로 관리되고 있기 때문에, 브라우저에 의존하지 않는 로그아웃 방식이 더 안정적입니다.Backchannel 로그아웃은 Keycloak에서 토큰을 무효화하는 즉시 각 애플리케이션이 로그아웃 상태로 전환되도록 서버 간 통신을 사용하므로 SLO를 더 신뢰성 있게 구현할 수 있습니다.해결 방안Keycloak 설정에서 Backchannel Logout을 활성화합니다:Keycloak Admin Console에서 각 클라이언트 애플리케이션 설정으로 이동합니다."Settings" -> "Advanced Settings" 탭에서 "Backchannel Logout URL"을 설정합니다.각 애플리케이션은 이 URL을 통해 로그아웃 요청을 처리해야 합니다.애플리케이션 코드에서 로그아웃 요청 처리:각 애플리케이션이 Backchannel Logout 요청을 받았을 때, 해당 세션을 종료하는 코드를 구현합니다.Keycloak에서 오는 요청이 인증된 요청인지 확인하기 위해, 요청의 JWT 토큰을 검증하는 과정을 포함시킵니다.토큰 무효화 확인:만약 애플리케이션이 주기적으로 토큰 유효성을 확인하도록 한다면, Token Introspection API를 사용하여 Keycloak에서 토큰의 유효성을 확인하는 방법도 있습니다.참고할 만한 사항Frontchannel과 Backchannel Logout 모두 구성해두면, 다양한 환경에서 유연하게 대응할 수 있습니다.애플리케이션의 세션 타임아웃을 Keycloak의 세션 타임아웃과 최대한 일치시키면, 세션 만료에 대한 일관성을 높일 수 있습니다.추가로 궁금한 점이 있다면 알려주세요! 🙂4oQ:Frontchannel과 Backchannel 이 뭔가요ChatGPT:ChatGPTFrontchannel과 Backchannel은 주로 인증 및 로그아웃 요청을 처리하는 방식에서 사용하는 개념입니다. 특히 SSO(Single Sign-On) 환경에서 이러한 개념이 자주 등장합니다.1. Frontchannel브라우저를 통한 클라이언트-서버 간 통신 방식을 의미합니다. 이 방식에서는 사용자의 브라우저가 중개 역할을 합니다.특징클라이언트(애플리케이션)와 서버(Keycloak) 간의 통신이 사용자의 브라우저를 통해 이루어집니다.사용자의 브라우저가 요청을 보내고, 이에 따라 로그아웃이나 인증 처리가 이루어집니다.보통 URL을 통해 요청이 전송되므로 HTTP GET 방식이 주로 사용됩니다.장점간단한 구현이 가능하며 브라우저를 통해 시각적으로 확인할 수 있습니다.브라우저 기반 환경에서는 쉽게 로그아웃 처리가 가능합니다.단점브라우저가 중개하기 때문에 네트워크 환경이나 브라우저의 설정에 따라 동작이 다를 수 있습니다.브라우저가 닫혀 있거나 세션이 끊어진 경우, 로그아웃 요청이 실패할 가능성이 있습니다.예시사용자가 애플리케이션 A에서 로그아웃을 시도하면, 브라우저가 Keycloak에 로그아웃 요청을 보냅니다.Keycloak은 사용자의 브라우저를 통해 애플리케이션 B와 애플리케이션 C의 로그아웃 URL을 차례로 호출하여 로그아웃 처리를 시도합니다.결과적으로 사용자의 브라우저가 Keycloak과 각 애플리케이션 간의 로그아웃 요청을 중개합니다.2. Backchannel서버 간의 직접 통신 방식을 의미합니다. 이 방식에서는 사용자 브라우저를 거치지 않고 서버가 직접 다른 서버에 요청을 보냅니다.특징서버가 다른 서버에 직접 요청을 보내는 방식입니다.브라우저를 통하지 않기 때문에 보통 HTTP POST 방식으로 요청이 전송됩니다.사용자의 브라우저 상태에 관계없이 안정적인 통신이 가능합니다.장점브라우저의 상태에 영향을 받지 않으므로 로그아웃 처리가 신뢰성이 높습니다.보안적으로 더 안전합니다. 요청이 서버 간에 직접적으로 전송되기 때문입니다.단점서버 간 통신을 위해 각 클라이언트 애플리케이션이 로그아웃 URL을 설정하고 보안을 유지해야 하므로 설정이 다소 복잡할 수 있습니다.서버 간의 인증 문제를 해결하기 위해 추가적인 토큰 검증 과정이 필요할 수 있습니다.예시사용자가 애플리케이션 A에서 로그아웃을 시도하면, Keycloak은 사용자 브라우저를 통하지 않고 애플리케이션 B와 애플리케이션 C의 서버에 직접 HTTP POST 로그아웃 요청을 보냅니다.각 애플리케이션은 Keycloak으로부터 받은 요청을 처리하여 서버 세션을 종료합니다.정리FrontchannelBackchannel통신 주체사용자 브라우저서버 간 직접 통신주로 사용하는 HTTP 메서드GETPOST신뢰성브라우저 상태에 따라 달라질 수 있음높은 신뢰성보안브라우저 기반으로 다소 취약할 수 있음서버 간 직접 통신으로 더 안전구현 난이도상대적으로 쉬움다소 복잡함이해를 돕기 위해 이렇게 설명드렸지만, SSO 환경에서는 두 방식을 병행해서 사용하는 경우도 많습니다. 이러면 각각의 장단점을 보완할 수 있습니다.4oQ:keycloak 은 뭔가요?ChatGPT:ChatGPTKeycloak은 오픈 소스 인증 및 접근 관리(AIAM) 솔루션으로, 주로 웹 애플리케이션과 서비스에서 사용자 인증, 권한 부여, SSO(Single Sign-On) 등을 처리하는 데 사용됩니다. Red Hat이 주도하는 프로젝트로 시작되었으며, 현재는 널리 사용되는 IAM 솔루션 중 하나입니다.Keycloak의 주요 기능Single Sign-On (SSO):사용자가 한 번 로그인하면 여러 애플리케이션에 접근할 수 있게 해주는 기능입니다.Keycloak을 통해 로그인하면, 연동된 모든 애플리케이션이 인증된 사용자 정보를 공유할 수 있습니다.Single Logout (SLO):SSO의 반대 개념으로, 한 애플리케이션에서 로그아웃하면 다른 애플리케이션에서도 자동으로 로그아웃되는 기능입니다.Social Login:구글, 페이스북, 트위터 등과 같은 소셜 네트워크 계정으로 로그인할 수 있도록 지원합니다.Federated Identity:다른 인증 시스템과 통합하여 인증을 위임할 수 있는 기능입니다.예를 들어, LDAP(경량 디렉토리 액세스 프로토콜) 또는 Active Directory와 같은 외부 디렉토리 서비스와 연동할 수 있습니다.Role-based Access Control (RBAC):역할 기반 접근 제어를 통해, 사용자가 특정 애플리케이션 내에서 어떤 역할을 할 수 있는지 정의하고 관리할 수 있습니다.Fine-Grained Authorization:정책 기반 접근 제어(PBAC)를 제공하여, 매우 세부적인 권한 관리와 정책 설정이 가능합니다.Identity Brokering:Keycloak을 중개 역할로 사용하여, 여러 인증 소스와 애플리케이션 간의 통합을 쉽게 설정할 수 있습니다.User Federation:사용자 정보를 다양한 외부 시스템에서 가져와 통합할 수 있는 기능입니다.예를 들어, 조직 내부의 LDAP 서버에서 사용자 정보를 가져와 Keycloak에서 인증을 처리할 수 있습니다.Keycloak의 구성 요소Realm:Realm은 Keycloak의 기본 단위로, 사용자를 그룹화하고 애플리케이션을 관리하는 *경계(도메인)*입니다.예를 들어, 회사 내부의 다른 부서나 팀을 별도의 Realm으로 나누어 관리할 수 있습니다.Client:Client는 Keycloak에 연동된 애플리케이션이나 서비스입니다.Keycloak은 클라이언트 애플리케이션이 OAuth 2.0, OpenID Connect, SAML과 같은 표준 프로토콜을 통해 인증할 수 있도록 지원합니다.User:User는 Keycloak에 등록된 개별 사용자입니다. Keycloak은 자체 데이터베이스를 통해 사용자 정보를 관리하거나 외부 시스템과 연동하여 사용자 정보를 가져올 수 있습니다.Roles & Groups:Roles은 사용자의 권한을 정의하는 단위입니다. 예를 들어, 관리자(admin), 사용자(user)와 같은 역할을 만들 수 있습니다.Groups는 여러 사용자를 그룹화하여 관리할 수 있도록 도와줍니다.Identity Providers (IDP):Keycloak은 다른 인증 시스템과 연동될 수 있습니다. 이를 위해 외부의 Identity Provider(Google, Facebook 등)를 설정할 수 있습니다.Protocol Mappers:프로토콜 매퍼를 통해 사용자 정보를 다양한 인증 프로토콜로 매핑할 수 있습니다. 이를 통해 클라이언트 애플리케이션에 필요한 사용자 정보를 제공할 수 있습니다.Keycloak의 주요 인증 프로토콜Keycloak은 여러 인증 표준 프로토콜을 지원하여 다양한 환경에서 사용할 수 있습니다:OAuth 2.0:리소스 소유자(사용자)와 클라이언트 애플리케이션 간의 보안 권한 위임을 위한 프로토콜입니다.OpenID Connect (OIDC):OAuth 2.0의 확장 프로토콜로, 사용자 인증을 추가로 지원하여 사용자 정보를 클라이언트 애플리케이션에 제공할 수 있습니다.SAML 2.0:XML 기반의 인증 프로토콜로, 주로 기업 환경에서 많이 사용됩니다.Keycloak의 장점오픈 소스: 무료로 사용 가능하며, 커뮤니티에 의해 활발히 발전하고 있습니다.확장성: 다양한 확장 기능과 플러그인을 지원하며, 필요한 경우 직접 확장 기능을 개발할 수도 있습니다.보안 표준 준수: OAuth 2.0, OpenID Connect, SAML 등과 같은 인증 표준을 지원합니다.통합 용이성: 다양한 시스템과의 통합을 쉽게 할 수 있습니다.Keycloak의 사용 사례기업 내 애플리케이션 SSO: 기업의 내부 애플리케이션들에 대해 SSO를 구현하여 편리한 접근성을 제공합니다.외부 고객 포털: 외부 사용자가 소셜 로그인이나 기업 인증 시스템을 통해 로그인을 할 수 있는 포털을 구축할 때 사용됩니다.마이크로서비스 아키텍처: 마이크로서비스 애플리케이션에서 인증과 권한 부여를 중앙 집중화하여 관리할 수 있습니다.Keycloak은 복잡한 인증 및 접근 관리 문제를 간단하게 해결할 수 있는 도구로, 다양한 환경에 적용할 수 있습니다.

keycloak SLO

1개의 답변

#sso 목록