Italiano
Keycloak Hosting
Fornire identità centralizzata, single sign-on, federazione utenti e gestione dell'accesso alle applicazioni.
- Un clic distribuisci
- 50 GB Spazio su disco necessario
- 4 GB di RAM Memoria necessaria
- Da 10 € Prezzo
Nessuna tassa di attivazione
Link ufficiali
I link ufficiali e il sito web originale di Keycloak
- Di più
Sito web di Keycloak
Cosa ottieni
su AvaHost
Il deployment con un clic, un dominio personalizzato, HTTPS gratuito, aggiornamenti automatici dell'applicazione e backup programmati sono inclusi con ogni Cloud App. Puoi eseguire più app su un server e l'accesso al terminale è incluso.
Un contenitore PostgreSQL è fornito con l'app e rimane non gestito da AvaHost.
Tecnologia
- Immagine Docker
- quay.io/keycloak/keycloak:26.0
- Porta predefinita
- 8080
- Database
- postgres
Come funziona Keycloak
Keycloak si posiziona tra gli utenti e le applicazioni a cui devono accedere. Gli amministratori creano realm, registrano client, definiscono indirizzi di reindirizzamento, configurano ruoli e scelgono i flussi di autenticazione. Le applicazioni utilizzano quindi OpenID Connect, OAuth 2.0 o SAML per delegare l'accesso anziché implementare ogni funzione di login in modo indipendente.
L'identity brokering può inviare gli utenti a un provider OpenID Connect o SAML esterno, mentre la federazione degli utenti può connettere servizi di directory supportati come LDAP o Active Directory. La console di amministrazione gestisce utenti, gruppi, sessioni, client, scope, mappature di ruoli e impostazioni del realm da un'unica posizione.
Funzionalità chiave di Keycloak
Il single sign-on consente a una sessione autenticata di servire diverse applicazioni compatibili. Le impostazioni granulari di client e ruoli controllano quali identità possono raggiungere ogni servizio. I temi personalizzano le pagine rivolte agli utenti e i flussi di autenticazione possono combinare password, credenziali monouso, passkey, provider esterni e altri passaggi configurati.
L'identità centralizzata crea anche una responsabilità di sicurezza concentrata. Gli URI di reindirizzamento, i segreti client, le connessioni di federazione, gli account amministratore, la durata dei token e le chiavi di firma devono essere gestiti con attenzione. Un errore di configurazione può influire su diverse applicazioni contemporaneamente, quindi le modifiche devono essere testate in un realm separato prima di un uso diffuso.
Keycloak vs Auth0
Keycloak
Keycloak è un server di gestione dell'identità e dell'accesso auto-ospitato con protocolli basati su standard, amministrazione del realm, federazione degli utenti e identity brokering. Auth0 è una piattaforma di identità cloud che offre login ospitato, SSO, metodi social e senza password, MFA, accesso machine-to-machine e infrastruttura gestita dal fornitore.
Auth0
Auth0 può essere adatto ai team che desiderano che il provider gestisca la piattaforma di identità ed esponga funzionalità di sicurezza gestite attraverso un servizio commerciale. Keycloak è più appropriato quando l'organizzazione ha bisogno del controllo diretto dei dati di identità e della configurazione, a condizione che possa gestire e controllare un servizio critico per la sicurezza.
Chi utilizza Keycloak
I team di sviluppo software utilizzano Keycloak come provider di identità per strumenti interni, portali clienti, API e ambienti multi-applicazione. Le organizzazioni più grandi connettono directory o provider esterni, mentre i team di sviluppo utilizzano realm separati per isolare prodotti, ambienti o gruppi di clienti.
Il servizio non è un sostituto della governance dell'accesso. Gli amministratori hanno ancora bisogno di politiche per account privilegiati, registrazione client, revisione dei ruoli, recupero delle credenziali, limiti di sessione, errori di federazione e accesso di emergenza.
Auto-hosting di Keycloak: requisiti e costi
L'utilizzo delle risorse aumenta con realm, client, utenti, sessioni attive, emissione di token, complessità dell'autenticazione, traffico di federazione, registrazione degli eventi e attività amministrativa. PostgreSQL memorizza realm, utenti, client, ruoli, sessioni e configurazione. Il database è incluso ma non gestito e la sua memoria è al di fuori del minimo dell'applicazione esportata.
AvaHost consiglia il Piano 4 a €20 per lo stack Keycloak completo dopo l'adeguamento del database. Sono inclusi distribuzione con un clic, un dominio di identità personalizzato, HTTPS automatico, aggiornamenti automatici dell'applicazione e backup pianificati. L'email dell'applicazione è disabilitata, quindi i messaggi di verifica, password dimenticata e azioni dell'amministratore non possono essere inviati; i realm devono essere progettati senza dipendenza da questi flussi.
F.A.Q
Keycloak inizia a €20 nel Piano 4 dopo aver contabilizzato PostgreSQL. Il piano fornisce il server di identità, la capacità del database, il dominio personalizzato, HTTPS, gli aggiornamenti e i backup programmati. Il numero di realm, gli utenti, le sessioni attive, il traffico di token, le connessioni di federazione, la registrazione degli eventi e la complessità del flusso di autenticazione determinano il margine operativo pratico.
PostgreSQL memorizza realm, utenti, gruppi, client, ruoli, sessioni, credenziali e configurazione del server. AvaHost crea il contenitore del database e lo connette a Keycloak, ma il servizio rimane non gestito. I dati di identità e la configurazione devono essere trattati come un sistema sensibile dal punto di vista della sicurezza quando si pianificano modifiche, migrazione, test o ripristino.
Un hostname di identità personalizzato può essere collegato con HTTPS automatico dopo la configurazione del DNS. Gli indirizzi di reindirizzamento del client, gli URL dell’emittente, le impostazioni dell’applicazione e i callback del provider di identità esterno devono utilizzare l’hostname finale. Testare il login, il logout, l’aggiornamento del token, le pagine dell’account e ogni client registrato dopo che l’indirizzo è stato modificato.
Keycloak normalmente utilizza SMTP per la verifica email, i link di recupero password e i messaggi di azione attivati dall’amministratore. AvaHost disabilita l’email dell’applicazione, quindi questi flussi di lavoro non possono inviare posta dal realm ospitato. Gli amministratori dovrebbero evitare di richiedere la verifica email, preparare un processo di recupero manuale controllato e testare ogni flusso di autenticazione prima di iscrivere gli utenti.