Formation Mettre en œuvre Keycloak : maîtriser l'authentification et l'autorisation

Programme de la formation
Mettre en œuvre Keycloak : maîtriser l'authentification et l'autorisation

• Introduction à Keycloak et principes de l'IAM

  - Présentation de Keycloak et de son rôle dans l'écosystème de sécurité
  - Comprendre l'Identity and Access Management (IAM)
  - Authentification, autorisation et gestion des utilisateurs
  - Concepts clés : OpenID Connect, OAuth2, SAML
  - Architecture générale de Keycloak

• Installation et Configuration Initiale

  - Prérequis et environnements supportés pour Keycloak
  - Installation de Keycloak standalone et via Docker/Podman
  - Configuration de la base de données (PostgreSQL, MySQL)
  - Accès à la console d'administration et première connexion
  - Vue d'ensemble de l'interface d'administration

• Gestion des Realms et des Utilisateurs

  - Création et gestion des Realms (domaines de sécurité)
  - Types de comptes utilisateurs et groupes
  - Gestion des utilisateurs : création, modification, suppression
  - Réinitialisation de mot de passe et politiques de sécurité
  - Configuration des attributs utilisateur et des rôles

• Gestion des Clients et des Protocoles

  - Comprendre les différents types de clients (public, confidentiel)
  - Enregistrement et configuration des clients (applications)
  - Configuration des protocoles : OpenID Connect, SAML
  - Flux d'authentification (Authorization Code Flow, Implicit Flow)
  - Paramètres de sécurité avancés pour les clients

• Authentification Forte et MFA

  - Mise en œuvre de l'authentification multi-facteurs (MFA)
  - Intégration avec des fournisseurs de 2FA (TOTP, WebAuthn)
  - Configuration des chemins d'authentification (Authentication Flows)
  - Règles de politique de mot de passe et de session
  - Gestion des sessions et déconnexion unique (Single Logout)

• Fédération d'Identités et Single Sign-On (SSO)

  - Comprendre les concepts de fédération d'identités
  - Intégration avec des fournisseurs d'identité externes (IdP)
  - Mise en place du Single Sign-On (SSO) inter-applications
  - Comprendre les brokers d'identité et leurs usages
  - Configuration de l'authentification sociale (Google, GitHub, etc.)

• Gestion Avancée des Rôles et Autorisations

  - Rôles de Realm et rôles de Client (scopes)
  - Attribution des rôles aux utilisateurs et aux groupes
  - Introduction aux politiques d'autorisation (Authorization Services)
  - Stratégies d'autorisation (basées sur les rôles, les attributs)
  - Mise en œuvre de la sécurité basée sur les ressources

• Intégration de Keycloak avec des Applications

  - Intégration Keycloak avec des applications Web (SpringBoot, ReactJS)
  - Utilisation des adaptateurs Keycloak (Keycloak Adapters)
  - Implémentation des flux OAuth2/OIDC dans le code applicatif
  - Gestion des tokens (Access Token, ID Token, Refresh Token)
  - Debugging des problèmes d'intégration

• SPI (Service Provider Interface) et Extensions

  - Introduction aux SPI Keycloak pour l'extension des fonctionnalités
  - Exemples de SPI : User Storage SPI, Authenticator SPI
  - Développement et déploiement de plugins personnalisés
  - Personnalisation de l'interface utilisateur de connexion/enregistrement
  - Bonnes pratiques pour l'extension de Keycloak

• Monitoring, Logs et Audit

  - Configuration de la journalisation (logging) de Keycloak
  - Analyse des logs pour identifier les problèmes de sécurité
  - Mise en place du monitoring des performances de Keycloak
  - Utilisation des événements d'audit pour la traçabilité
  - Intégration avec des outils de SIEM (Security Information and Event Management)

• Performance, Sauvegarde et Restauration

  - Optimisation des performances de Keycloak (cache, JVM)
  - Stratégies de sauvegarde de la base de données Keycloak
  - Procédures de restauration de Keycloak après sinistre
  - Mise à jour et migration de versions de Keycloak
  - Considérations pour les environnements de production

• Bonnes Pratiques et Déploiement en Production

  - Sécurisation de l'environnement Keycloak (HTTPS, réseau)
  - Déploiement en cluster et haute disponibilité
  - Considérations de sécurité et durcissement (hardening)
  - Automation de l'administration via l'API REST Keycloak
  - Scénarios d'usage avancés et cas pratiques