Formation Gestion centralisée de la sécurité avec KeyCloak

Qu’est-ce que Keycloak ?

Keycloak est une solution open source de gestion des identités et des accès (IAM). Il implémente en standard les protocoles (OpenID Connect, OAuth 2.0, et SAML). Les cas d’usage couvrent notamment Single-Sign On et délégation d'authentification (IdP), la sécurisation de tout type d’application (Web, API Rest, Mobile, ...), la fédération des utilisateurs, centralisation de la gestion des crédentiels et des rôles ainsi que la gestion centralisée des autorisations aux services de l’entreprise.

Pourquoi suivre une formation Intégrer et administrer Keycloak ?

Après avoir effectué un rappel sur les protocoles standard implémentés dans Keycloak, cette formation KeyCloak Sécurité vous guide dans la mise en œuvre de Keycloak pour sécuriser vos applications. Elle combine théorie et pratique autour des concepts d’authentification, d’autorisation et d’intégration technique (Spring Boot, Quarkus, reverse proxy). Vous apprendrez à configurer, étendre et administrer un serveur Keycloak en environnement de production.

Objectif opérationnel : 

Savoir maîtriser les fonctionnalités de KeyCloak ainsi que leur mise en place dans les différents types d’applications. (Web, Mobile, Entreprise)

Objectifs pédagogiques : 

À l'issue de cette formation KeyCloak Sécurité vous aurez acquis les connaissances et les compétences nécessaires pour :

• Comprendre les principes et les standards OAuth2.0 et OpenID Connect.
• Configurer et sécuriser une première application avec Keycloak.
• Intégrer Keycloak dans différents types d’applications (web, mobile, backend).
• Mettre en œuvre des stratégies d’autorisation (RBAC, GBAC, OAuth2 scopes).
• Mettre en œuvre l'identity brokering.
• Administrer les utilisateurs, sessions et jetons via l’interface et les APIs.
• Déployer et sécuriser Keycloak en environnement de production.

Public :

Ce cours KeyCloak Sécurité s'adresse aux aux architectes, développeurs et exploitants de système.

Prérequis :

Avoir une bonne connaissance du développement web (Java, Python ou autre) et des architectures applicatives modernes. Des notions sur l’authentification et les API REST sont un plus.

Introduction à Keycloak

Rappels sur les standards 

Concepts d’authentification et d’autorisation
OAuth 2.0 : acteurs, rôles et flux
OpenID Connect et les jetons JWT
Types de jetons et signatures
Décodage et validation de jetons

Keycloak et OpenID Connect

Keycloak et OAuth 2.0

Sécurisation des différents types d’application

Intégration

Stratégies d’autorisation

Exploitation et administration courante

Gestion des utilisateurs et des groupes
Gestion des mots de passe et politiques de complexité
Gestion des sessions actives et des jetons (durée, révocation)
Authentification multi-facteur (MFA) et récupération de compte
Supervision, audit et logs d’administration
Sauvegarde, montée de version et restauration

Adaptation et personnalisation avancée

Organisation et hiérarchisation des realms et clients
Adaptation du flux d’authentification (Authentication Flow, conditions et exécuteurs)
Personnalisation du thème d’authentification et de l’interface utilisateur
Identity brokering et fédération d’identités externes (LDAP, SAML, OpenID Connect)
Développement et extension via SPI (Service Provider Interface)
Intégration continue et automatisation (CLI, Admin API, scripts REST)

Recommandations pour la production

Configuration haute disponibilité (HAProxy, Operator, base de données externe)
Sécurisation du serveur (certificats TLS, headers, secrets)
Optimisation des performances et tuning JVM
Bonnes pratiques de monitoring et durcissement
Checklist de préparation à la mise en production

De nombreux travaux pratiques (plus de 50%) sont proposés aux participants tout au long de la formation. Les solutions des ateliers seront fournies sous forme de dépôt Git. Elles utilisent des applications web implémentées soit avec Node.js soit avec des frameworks Java/Python.