Formation Keycloack : sécuriser et intégrer l'authentification dans vos applications.

Programme de formation Keycloack : sécuriser et intégrer l'authentification dans vos applications.

Introduction à Keycloak et concepts fondamentaux

– Gestion des identités et des accès (IAM) : enjeux de sécurité et cas d’usage en entreprise
– Architecture Keycloak : realms, clients, utilisateurs, rôles, groupes et scopes
– Console d’administration : navigation et configuration de base
– Installation et déploiement : options de mise en place selon l’environnement

Exemples d’activités pratiques :
– Installation locale de Keycloak et création d’un premier realm
– Configuration d’un client et test du cycle login/logout

Protocoles d’authentification : OAuth 2.0 et OpenID Connect

– OAuth 2.0 : acteurs, rôles et flux d’autorisation
– OpenID Connect : couche d’identité au-dessus d’OAuth 2.0
– Jetons JWT : structure, claims, signatures et validation
– Flows d’authentification : Authorization Code (avec PKCE), Client Credentials, Device Code
– Discovery endpoint et configuration automatique des clients

Exemples d’activités pratiques :
– Analyse et décodage de jetons JWT (access_token, id_token, refresh_token)
– Mise en œuvre du flow Authorization Code avec PKCE

Intégration dans les applications

– Stratégies d’intégration : adaptateurs, librairies clientes et reverse proxy
– Applications web : sécurisation frontend et backend
– Applications mobiles et natives : spécificités du Device Code Flow
– Services backend et machine-to-machine : Client Credentials Flow
– Intégration avec les frameworks courants : Spring Boot, Quarkus, Node.js, Python (selon contexte)
– Reverse proxy : délégation de l’authentification à Nginx ou Traefik

Exemples d’activités pratiques :
– Sécurisation d’une API REST avec validation de token
– Intégration de Keycloak dans une application web ou backend

Stratégies d’autorisation

– Modèles d’autorisation : RBAC (Role-Based Access Control) et GBAC (Group-Based Access Control)
– Scopes OAuth2 : définition et utilisation pour limiter les accès
– Authorization Service de Keycloak : politiques et permissions centralisées
– Audiences et claims personnalisés : contrôle fin des accès aux ressources

Exemples d’activités pratiques :
– Mise en place d’un contrôle d’accès basé sur les rôles
– Configuration de l’Authorization Service avec des politiques d’accès

Identity Brokering et fédération d’identités

– Concept de courtier d’identité : déléguer l’authentification à des fournisseurs externes
– Fédération OpenID Connect : intégration avec d’autres instances Keycloak ou fournisseurs OIDC
– Fédération SAML : connexion à des IdP d’entreprise (Azure AD, ADFS)
– Synchronisation d’annuaires : intégration LDAP et Active Directory
– Mappers et transformation des attributs utilisateurs

Exemples d’activités pratiques :
– Configuration d’un Identity Provider externe (OIDC ou SAML)
– Synchronisation d’utilisateurs depuis un annuaire LDAP

Administration et exploitation

– Gestion des utilisateurs et groupes : création, import et cycle de vie
– Politiques de sécurité : complexité des mots de passe, verrouillage de compte
– Sessions et jetons : durée de vie, révocation et monitoring
– Authentification multi-facteur (MFA) : OTP, WebAuthn et flux conditionnels
– Personnalisation des flux d’authentification : conditions, actions et étapes personnalisées
– Audit et logs : traçabilité des événements utilisateurs et administrateurs

Exemples d’activités pratiques :
– Configuration de politiques de mot de passe et activation du MFA (OTP)
– Création d’un flux d’authentification personnalisé