Mettre en place un SSO OAuth2 avec Keycloak

Keycloak est une solution open-source de gestion d'identités et d'accès (IAM) qui prend en charge OAuth2, OpenID Connect et SAML. Il centralise l'authentification, le Single Sign-On (SSO) et la gestion des utilisateurs pour vos applications.

• Docker et Docker Compose ou Kubernetes
• Java 11+ (si déploiement natif)
• Nom de domaine pointant vers le serveur Keycloak
• Ports 8080/8443 disponibles

• Consultez l'installation de Keycloak
• Sécurisez vos API avec mTLS

1. Créez docker-compose.yml :

   services:
     keycloak:
       image: quay.io/keycloak/keycloak:25.0.0
       environment:
         KEYCLOAK_ADMIN: admin
         KEYCLOAK_ADMIN_PASSWORD: admin
       command: start-dev
       ports:
         - '8080:8080'
   

2. Lancez Keycloak :

   docker compose up -d
   

3. Accédez à l'interface :

   http://<HOST>:8080
   

1. Connectez-vous en admin
2. Créez un Realm (ex : myrealm)
3. Dans Clients, ajoutez un client public
   • Client ID : myapp
   • Redirection URI : https://myapp.example.com/*
4. Configurez les mappers pour inclure les rôles et attributs utilisateur

Exemple Node.js avec openid-client

const { Issuer } = require('openid-client');

(async () => {
	const keycloak = await Issuer.discover('http://<HOST>:8080/realms/myrealm');
	const client = new keycloak.Client({
		client_id: 'myapp',
		redirect_uris: ['https://myapp.example.com/callback'],
		response_types: ['code'],
	});
	// Routes Express pour redirection et callback...
})();

• TLS obligatoire en production
• Sécuriser l'accès à l'admin console (IP whitelist, reverse proxy)
• Centraliser les logs (ELK, Loki)
• Backup de la base Keycloak (PostgreSQL, MySQL…)
• Monitoring (Prometheus exporter disponible)

Keycloak couvre OAuth2, OIDC et SAML derrière une seule interface d'administration. De quoi monter un SSO centralisé pour vos applications sans recoder l'authentification à chaque service.