Formation Keycloak : administration et exploitation

– Gestion des identités et des accès : rôle d’un fournisseur d’identité, SSO et centralisation de l’authentification en entreprise
– Keycloak et Red Hat build of Keycloak : positionnement, écosystème et rythme de publication
– OpenID Connect et OAuth 2.0 côté administrateur : flux recommandés, jetons d’accès, d’identité et de rafraîchissement, flux hérités à désactiver
– SAML 2.0 côté administrateur : fournisseur d’identité et fournisseur de service, métadonnées, assertions signées
– Modèle de Keycloak : realms, clients, utilisateurs, groupes, rôles et client scopes
– Architecture du serveur : moteur Quarkus, base de données, cache Infinispan, console d’administration et endpoints exposés

– Modes de distribution : archive, image conteneur, déploiement sur Kubernetes avec le Keycloak Operator
– Mode développement et mode production : différences de comportement, build optimisé et options fixées au build
– Configuration du serveur : fichier de configuration, variables d’environnement, ligne de commande et gestion des secrets
– Base de données externe : PostgreSQL, MariaDB ou Oracle, paramétrage du pool de connexions
– Exposition du service : nom d’hôte, TLS et certificats, reverse proxy et en-têtes transmis
– Interface de management : health checks et métriques séparés du trafic public
– Import et export de realms : initialiser une instance et transférer une configuration entre environnements

– Realm master et realms applicatifs : isolement, comptes d’administration et bonnes pratiques
– Stratégies de segmentation : realm par environnement, par client ou par périmètre métier, Organizations pour le multitenant
– Clients OpenID Connect et SAML : clients publics et confidentiels, URI de redirection, secrets et rotation, comptes de service
– Client scopes et mappers : contrôler les informations et les rôles transmis dans les jetons et les assertions
– Utilisateurs, groupes et rôles : profil utilisateur, rôles de realm et de client, rôles composites, actions requises
– Sessions et jetons : durées de vie, sessions hors ligne, révocation, impersonation encadrée
– Clés de realm : fournisseurs de clés et rotation des clés de signature
– Délégation d’administration : permissions d’administration fines pour confier un périmètre à une équipe

– User federation LDAP et Active Directory : connexion à l’annuaire, recherche des utilisateurs, modes d’édition
– Mappers LDAP : récupérer attributs, groupes et rôles depuis l’annuaire
– Synchronisation : complète ou incrémentale, périodique ou à la demande
– Kerberos et SPNEGO : SSO transparent pour les postes Windows du domaine
– Identity brokering : déléguer l’authentification à un fournisseur OIDC ou SAML (Microsoft Entra ID, ADFS, autre Keycloak, fournisseurs sociaux)
– Première connexion via un fournisseur externe : first broker login flow, liaison avec les comptes existants, mappers d’IdP
– Déconnexion globale : back-channel logout OpenID Connect et Single Logout SAML

– Flux d’authentification : étapes, sous-flux, exécutions conditionnelles et flux spécifiques par client
– Authentification multifacteur : OTP, WebAuthn et passkeys, MFA conditionnel selon le rôle ou l’application
– Politiques de mot de passe : longueur, complexité, historique et algorithme de hachage
– Protection contre la force brute : verrouillage temporaire ou permanent des comptes
– Actions requises et parcours utilisateur : vérification d’e-mail, renouvellement du mot de passe, enrôlement OTP
– Événements utilisateurs et d’administration : activation, rétention et exploitation pour l’audit
– Thèmes : déploiement et sélection de l’habillage des pages de connexion et des e-mails

– Architecture en cluster : cache distribué Infinispan, découverte des nœuds, sessions persistantes en base de données
– Répartition de charge : load balancer et reverse proxy (HAProxy, Nginx, Traefik), affinité de session, health checks
– Résilience de la base de données : haute disponibilité du SGBD et impact sur la disponibilité de Keycloak
– Dimensionnement : mémoire, CPU et pool de connexions selon la charge attendue
– Durcissement de l’exposition : restriction de la console et des endpoints d’administration, séparation des accès publics et internes
– Sécurité de l’administration : protection du realm master et des comptes administrateurs, désactivation des flux hérités
– Secrets, certificats et correctifs : gestion du cycle de vie et veille sur les vulnérabilités

– Métriques : activation, indicateurs clés (authentifications, erreurs, caches, base de données) et collecte par Prometheus
– Tableaux de bord et alertes Grafana : détecter saturation, pics d’échecs d’authentification et dégradations
– Journaux : niveaux de verbosité, format structuré et centralisation
– Sauvegarde et restauration : base de données, export des realms, configuration et thèmes
– Montées de version : rythme des publications, migration automatique du schéma, procédure et retour arrière
– Diagnostic des incidents courants : nom d’hôte et proxy, erreurs de redirection, synchronisation LDAP, cluster

– Admin CLI kcadm.sh : authentification, opérations courantes et scripts d’administration
– Admin REST API : jeton d’administration via un compte de service et appels courants
– Configuration as code : Terraform, Ansible et outils d’import déclaratif de configuration
– Gestion multi-environnement : promotion de la configuration du développement à la production dans une chaîne CI/CD
– Checklist de mise en production : points de contrôle sécurité, disponibilité et exploitation