keycloak域中tokens的配置

2023-03-15 10:19 作者:bfyxzls 0人读过 | 我要投稿

keycloak域中tokens的配置

一认证响应体

{

"access_token": "xxx",

"expires_in": 180,

"refresh_expires_in": 180,

"refresh_token": "xxx",

"token_type": "Bearer",

"not-before-policy": 1670293935,

"session_state": "28c2220c-0908-41d4-bb57-c1014d03ed2e",

"scope": "roles my-application-scope extension-roles email profile"

}

二 JWT数据载体

keycloak的Access_token(上面返回的）是JWT的，它的PAYLOAD数据载体主要包括用户ID，用户名，用户角色，过期时间等信息，下面具体介绍：

Sub：用户ID

preferred_username：账号名称

Name:用户姓名

Email：电子邮件

realm_access:领域角色

resource_access：客户端（资源服务）角色

Azp：授权客户端

Typ：token的类型

Aud：被授权的客户端列表

Exp：token的过期时间

Iat:token建立的时间

Iss: 当前领域的开放API，token颁发的机构，例如https://cas.pkulaw.com/auth/realms/fabao，只有来自这个域名的请求，才能使用咱们的token

三 tokens配置

选择域realms设置-tokens标签；新版本叫sessions

14.0.0截图

19.0.0截图

下面对每一项进行说明：

1. 收回 Refresh Token（Revoke Refresh Token）：如果开启 refresh tokens只能使用一次，否则refresh token不会被收回并且可以使用多次。

2. SSO会话空闲时间（SSO Session Idle）：设置会话在过期之前可以空闲的时间长度，当会话过期时 Token 和浏览器会话都会被设置为无效。

3. SSO会话最长时间（SSO Session Max）：refresh_token的有效期一般比access_token的长，这也就是通过refresh_token来换取新的access_token的一个前提，下面来配置一个这两个token的超时时间；refresh_token超时时间refresh_expires_in通过配置SSO Session Max进行设置。

4. SSO Session Idle Remember Me：记住密码空闲时间

5. SSO Session Max Remember Me：记住密码最大超时时间

6. 离线会话的空闲时间（Offline Session Idle）：离线会话允许的空闲时间。你需要使用离线Token在这段时间内至少刷新一次否则会话就会过期，对接角色offline_access。

7. Offline Session Max Limited：开启离线token的不受限制

8. Client Session Idle：客户端token空闲时间

9. Client Session Max【不知道它的实际作用】：客户端token的最大超时时间，在生成的JWT中指向expires_in，而客户端的refresh_expires_in永远是0，即永不过期，不过在测试 keycloak过程中发现,通过client_credentials的方式获取的access_token，它的有效期也是由Access Token Lifespan来控制的，就是说和其它认证获取的token有效期是一样的。

10. Access Token Lifespan：token的超时时间

11. 隐式认证token超时时间（Access Token Lifespan For Implicit Flow）：Max time before an access token issued during OpenID Connect Implicit Flow is expired. This value is recommended to be shorter than SSO timeout. There is no possibility to refresh token during implicit flow, that's why there is a separate timeout different to 'Access Token Lifespan'.

12. Client login timeout：客户端登录过程中超时时间

13. Login timeout：登出的超时时间