Der Abgleich mit Keycloak

Worum es geht

Module melden ihre Rollen und Attribute an, siehe Module melden ihre Rollen an. Damit daraus etwas wird, muss jemand Keycloak und den Katalog auf den Stand bringen. Das macht der Abgleich. Er schreibt drei Dinge:

• das Benutzerprofil in Keycloak: welche Attribute ein Konto haben kann
• die Client-Rollen und die Claim-Mapper je Modul. Ein Claim-Mapper sorgt dafür, dass ein Attribut im Token des Clients ankommt
• den Katalog in CIAS

Wann er läuft

Einen Zeitgeber gibt es bewusst nicht. Das Benutzerprofil ist in Keycloak ein Dokument, das bei jedem Schreiben ganz ersetzt wird. Zwei Läufe gleichzeitig würden sich gegenseitig überschreiben. Innerhalb eines Prozesses läuft deshalb immer nur ein Lauf: Wer drückt, während einer läuft, bekommt einen Bericht „läuft bereits“ zurück, und es passiert nichts doppelt.

Beim Start legt CIAS vor dem Abgleich noch die Realm-Rollen an, die die Installation in ihrer Konfiguration nennt (startup.realm-roles, etwa user). Die kommen nie aus einer Deklaration.

Drei Phasen: lesen, ablehnen, schreiben

Erst alles lesen, dann alles prüfen, dann schreiben. Ein Lauf, der beim Lesen schon schriebe, würde eine widersprüchliche Konfiguration halb anwenden, und niemand wüsste hinterher, welche Hälfte. Die Ablehnungen im Einzelnen stehen unter Wenn CIAS eine Deklaration nicht annimmt.

Zuerst Keycloak, dann der Katalog

Keycloak und CIAS haben keine gemeinsame Transaktion. Scheitert etwas zwischen beiden, bleibt eine Hälfte allein stehen. Die Reihenfolge entscheidet, welche:

Scheitert das Anlegen in Keycloak für ein Modul, meldet der Bericht es als UNPROVISIONED, und sein Katalog bleibt unverändert, auch Umbenennungen und Stilllegungen. Der nächste Lauf holt alles auf einmal nach, denn jeder Schritt lässt sich wiederholen.

Was mit den Rollen eines Moduls passiert

Warum stilllegen statt löschen: Würde CIAS eine zurückgezogene Rolle löschen, verlöre jede Person, die sie hat, ihr Recht, nur weil ein Modul seine Liste aufgeräumt hat. Und niemand könnte später nachsehen, dass es die Rolle je gab.

Stillgelegt wird nur, was diesem Modul gehört. Tragen mehrere Module einen Client, legt das Schweigen des einen nie die Rollen des anderen still. Rollen ohne Eigentümer, etwa die Realm-Rollen der Installation, legt kein Abgleich still.

Attribute

Für Attribute gilt dasselbe Prinzip, nur strenger:

• Ein Attribut, das kein Modul mehr anmeldet, bleibt im Benutzerprofil. Löschen würde den Wert in jedem Konto vernichten. Eine Rolle ist ein Recht, ein Attribut ist Inhalt.
• Ein Pflichtattribut ohne Standardwert lehnt CIAS ab, samt der ganzen Deklaration dieses Moduls. Konten, die es schon vorher gab, hätten sonst keinen Wert. Das Profil würde dann behaupten, so etwas könne es nicht geben, und Keycloak lehnte danach sogar Änderungen an diesen Konten ab, auch das Sperren.

Mehr unter Attribute anmelden.

Der Bericht

POST /cias/admin/roles/reconcile
Authorization: Bearer <Token eines Plattform-Administrators>

{
  "applied": true,
  "modules": [
    { "module": "cias", "client": "cias-backend", "status": "RECONCILED",
      "provisioned": [], "defined": [], "updated": [],
      "deprecated": [], "reinstated": [], … },
    { "module": "cdms", "client": "cdms-backend", "status": "RECONCILED",
      "provisioned": ["cdms-backend/order-export"],
      "defined": ["cdms-backend/order-export"],
      "deprecated": ["cdms-backend/order-archive"], … }
  ],
  "attributes": [],
  "refusals": []
}

Rollen stehen im Bericht immer als client/key, denn der Schlüssel allein sagt nicht mehr, welche Rolle gemeint ist.

Fallen

Weiter

• Module melden ihre Rollen an
• Der Rollenkatalog
• Wie eine Rolle aus dem Code ins Token kommt