Keycloak คืออะไร และวิธีติดตั้งระบบ SSO บน Cloud Server

ทดสอบบน Ubuntu Server 24.04 LTS ที่ติดตั้ง Docker แล้ว

1. 1

   สร้างไฟล์ compose.yml

   ใช้ PostgreSQL เก็บข้อมูล ไม่ใช้ฐานข้อมูลในตัวสำหรับงานจริง เพราะย้ายและสำรองยาก

   คัดลอก

   services:
     db:
       image: postgres:16
       restart: always
       environment:
         POSTGRES_DB: keycloak
         POSTGRES_USER: keycloak
         POSTGRES_PASSWORD: ChangeThisStrongPassword
       volumes: [dbdata:/var/lib/postgresql/data]
   
     keycloak:
       image: quay.io/keycloak/keycloak:latest
       restart: always
       depends_on: [db]
       command: start --optimized
       environment:
         KC_DB: postgres
         KC_DB_URL: jdbc:postgresql://db:5432/keycloak
         KC_DB_USERNAME: keycloak
         KC_DB_PASSWORD: ChangeThisStrongPassword
         KC_HOSTNAME: sso.example.com
         KC_PROXY_HEADERS: xforwarded
         KC_HTTP_ENABLED: "true"
         KEYCLOAK_ADMIN: admin
         KEYCLOAK_ADMIN_PASSWORD: ChangeThisAdminPassword
       ports: ["127.0.0.1:8080:8080"]
   
   volumes:
     dbdata:

2. 2

   สั่งรัน

   คัดลอก

   docker compose up -d

3. 3

   วาง Reverse Proxy พร้อม HTTPS

   ต้องส่งต่อ Header ที่บอกว่าคำขอมาผ่าน HTTPS ให้ถูกต้อง มิฉะนั้นการเปลี่ยนเส้นทางของ Keycloak จะผิด

   คัดลอก

   server {
     listen 443 ssl;
     server_name sso.example.com;
   
     location / {
       proxy_pass http://127.0.0.1:8080;
       proxy_set_header Host $host;
       proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
       proxy_set_header X-Forwarded-Proto $scheme;
     }
   }

4. 4

   สร้าง Realm และ Client

   สร้าง Realm สำหรับพนักงาน แล้วเพิ่ม Client หนึ่งรายการต่อหนึ่งระบบที่จะต่อเข้ามา พร้อมระบุที่อยู่ปลายทางที่อนุญาตให้เปลี่ยนเส้นทางกลับ

5. 5

   เชื่อมกับ LDAP หรือ Active Directory

   ถ้าองค์กรมีไดเรกทอรีผู้ใช้อยู่แล้ว ให้ตั้ง User Federation เพื่อดึงบัญชีเดิมมาใช้ ไม่ต้องสร้างผู้ใช้ใหม่ทั้งหมด

6. 6

   บังคับการยืนยันตัวตนสองชั้น

   ตั้งนโยบายให้ผู้ใช้ลงทะเบียนแอป Authenticator ในการเข้าสู่ระบบครั้งถัดไป เริ่มจากกลุ่มผู้ดูแลระบบก่อนแล้วขยายทั้งองค์กร

ระบบนี้กลายเป็นจุดสำคัญที่สุดของโครงสร้างพื้นฐานทันทีที่ทุกระบบต่อเข้ามา ควรวางแผนสำรองข้อมูล การเฝ้าระวัง และการรันหลายโหนดตั้งแต่ต้น