Модуль community.general.keycloak_client — позволяет администрировать клиенты Keycloak с помощью API Keycloak

admin_url

псевдонимы: adminUrl

string

URL административного интерфейса клиента. В API REST Keycloak это adminUrl.

always_display_in_console

псевдонимы: alwaysDisplayInConsole

boolean

добавлено в community.general 4.7.0

Следует ли отображать этого клиента в консоли учетной записи, даже если у пользователя нет активного сеанса.

Варианты:

• false
• true

attributes

dictionary

Словарь дополнительных атрибутов этого клиента. Он может содержать различные параметры конфигурации; пример приведен в разделе примеров. Полный список допустимых параметров отсутствует; ниже перечислены возможные параметры для Keycloak 3.4. API Keycloak не проверяет, подходит ли указанный параметр для используемого протокола; если параметр все же указан, Keycloak его не использует.

jwks.url

string

Для клиентов OpenID Connect — URL, по которому хранятся ключи клиента в формате JWK.

jwt.credential.certificate

string

Для клиентов OpenID Connect — сертификат клиента в кодировке base64 для проверки JWT, выпущенного клиентом и подписанного его ключом.

request.object.signature.alg

string

Для клиентов OpenID Connect — алгоритм JWA, который клиент должен использовать при отправке объекта запроса OIDC. Один из any, none, RS256.

saml.authnstatement

string

Для клиентов SAML — логическое значение, указывающее, следует ли включать в ответ на вход утверждение, содержащее метод и временную метку.

saml.client.signature

string

Для клиентов SAML — логическое значение, указывающее, требуется ли подпись клиента и должна ли она проверяться.

saml.encrypt

string

Логическое значение, указывающее, следует ли шифровать утверждения SAML открытым ключом клиента.

saml.force.post.binding

string

Для клиентов SAML — логическое значение, указывающее, следует ли всегда использовать привязку POST для ответов.

saml.onetimeuse.condition

string

Для клиентов SAML — логическое значение, указывающее, следует ли включать условие OneTimeUse в ответы при входе.

saml.server.signature

string

Логическое значение, указывающее, следует ли подписывать документы SAML реалмом.

saml.server.signature.keyinfo.ext

string

Для клиентов SAML — логическое значение, указывающее, следует ли оптимизировать поиск ключа подписи REDIRECT, включая идентификатор ключа подписи в элемент расширений SAML.

saml.signature.algorithm

string

Алгоритм подписи, используемый для подписания документов SAML. Один из RSA_SHA256, RSA_SHA1, RSA_SHA512 или DSA_SHA1.

saml.signing.certificate

string

Сертификат ключа подписи SAML в кодировке base64.

saml.signing.private.key

string

Закрытый ключ подписи SAML в кодировке base64.

saml_assertion_consumer_url_post

string

URL привязки POST SAML для службы потребителя утверждений клиента (ответы при входе).

saml_assertion_consumer_url_redirect

string

URL привязки Redirect SAML для службы потребителя утверждений клиента (ответы при входе).

saml_force_name_id_format

string

Для клиентов SAML — логическое значение, указывающее, следует ли игнорировать запрошенный формат субъекта NameID и вместо него использовать настроенный формат.

saml_name_id_format

string

Для клиентов SAML — используемый формат NameID (один из username, email, transient или persistent).

saml_signature_canonicalization_method

string

Метод каноникализации подписи SAML. Возможны четыре значения: http://www.w3.org/2001/10/xml-exc-c14n# для EXCLUSIVE, http://www.w3.org/2001/10/xml-exc-c14n#WithComments для EXCLUSIVE_WITH_COMMENTS, http://www.w3.org/TR/2001/REC-xml-c14n-20010315 для INCLUSIVE и http://www.w3.org/TR/2001/REC-xml-c14n-20010315#WithComments для INCLUSIVE_WITH_COMMENTS.

saml_single_logout_service_url_post

string

URL привязки POST SAML для службы единого выхода клиента.

saml_single_logout_service_url_redirect

string

URL привязки Redirect SAML для службы единого выхода клиента.

use.jwks.url

string

Для клиентов OpenID Connect — логическое значение, указывающее, следует ли использовать URL JWKS для получения открытых ключей клиента.

user.info.response.signature.alg

string

Для клиентов OpenID Connect — алгоритм JWA для подписанных ответов конечной точки UserInfo. Один из RS256 или unsigned.

x509.allow.regex.pattern.comparison

boolean

добавлено в community.general 9.5.0

Для клиентов OpenID Connect — логическое значение, указывающее, разрешено ли использовать x509.subjectdn в качестве регулярного выражения.

Варианты:

• false
• true

x509.subjectdn

string

добавлено в community.general 9.5.0

Для клиентов OpenID Connect — субъект, используемый для аутентификации клиента.

auth_client_id

string

client_id OpenID Connect для аутентификации в API.

По умолчанию: "admin-cli"

auth_client_secret

string

Секрет клиента, используемый вместе с auth_client_id (если требуется).

auth_keycloak_url

псевдонимы: url

string / обязательный

URL экземпляра Keycloak.

auth_password

псевдонимы: password

string

Пароль для аутентификации при доступе к API.

auth_realm

string

Имя реалма Keycloak для аутентификации при доступе к API.

auth_username

псевдонимы: username

string

Имя пользователя для аутентификации при доступе к API.

authentication_flow_binding_overrides

псевдонимы: authenticationFlowBindingOverrides

dictionary

добавлено в community.general 3.4.0

Переопределение привязок потоков аутентификации реалма.

browser

string

Идентификатор потока аутентификации браузера.

authentication_flow_binding_overrides.browser и authentication_flow_binding_overrides.browser_name взаимоисключающие.

browser_name

псевдонимы: browserName

string

добавлено в community.general 9.1.0

Имя потока аутентификации браузера.

authentication_flow_binding_overrides.browser и authentication_flow_binding_overrides.browser_name взаимоисключающие.

direct_grant

псевдонимы: directGrant

string

Идентификатор потока аутентификации прямого доступа.

authentication_flow_binding_overrides.direct_grant и authentication_flow_binding_overrides.direct_grant_name взаимоисключающие.

direct_grant_name

псевдонимы: directGrantName

string

добавлено в community.general 9.1.0

Имя потока аутентификации прямого доступа.

authentication_flow_binding_overrides.direct_grant и authentication_flow_binding_overrides.direct_grant_name взаимоисключающие.

authorization_services_enabled

псевдонимы: authorizationServicesEnabled

boolean

Включены ли службы авторизации для этого клиента (OpenID Connect). В API REST Keycloak это authorizationServicesEnabled.

Варианты:

• false
• true

authorization_settings

псевдонимы: authorizationSettings

dictionary

Структура данных, определяющая параметры авторизации для этого клиента. Справочную информацию см. в документации API Keycloak: https://www.keycloak.org/docs-api/8.0/rest-api/index.html#_resourceserverrepresentation. В API REST Keycloak это authorizationSettings.

backchannel_logout_url

псевдонимы: backchannelLogoutUrl

string

добавлено в community.general 12.4.0

URL, при обращении к которому клиент выполнит выход из системы, когда в этот реалм будет отправлен запрос на выход.

Это значение хранится в атрибутах клиента как backchannel.logout.url.

base_url

псевдонимы: baseUrl

string

URL по умолчанию, используемый, когда сервер аутентификации должен перенаправить пользователя к клиенту или создать ссылку на него. В API REST Keycloak это baseUrl.

bearer_only

псевдонимы: bearerOnly

boolean

Тип доступа этого клиента — только bearer. В API REST Keycloak это bearerOnly.

Варианты:

• false
• true

client_authenticator_type

псевдонимы: clientAuthenticatorType

string

Как клиенты проходят аутентификацию на сервере аутентификации? Можно выбрать client-secret, client-jwt или client-x509. При использовании client-secret для настройки можно задать параметр модуля secret; для client-jwt можно использовать ключи use.jwks.url, jwks.url и jwt.credential.certificate в параметре модуля attributes, чтобы настроить его поведение. Для client-x509 можно использовать ключи x509.allow.regex.pattern.comparison и x509.subjectdn в параметре модуля attributes, чтобы настроить принимаемые сертификаты.

В API REST Keycloak это clientAuthenticatorType.

Варианты:

• "client-secret"
• "client-jwt"
• "client-x509"

client_id

псевдонимы: clientId

string

Идентификатор клиента, с которым нужно работать. Обычно это выбранное вами буквенно-цифровое имя. Необходимо указать либо этот параметр, либо id. Если указаны оба, приоритет имеет id. В API REST Keycloak это clientId.

client_scopes_behavior

псевдонимы: clientScopesBehavior

string

добавлено в community.general 11.4.0

Определяет поведение default_client_scopes и optional_client_scopes при обновлении существующего клиента.

ignore: Не изменять области действия существующего клиента. Это значение используется по умолчанию для обратной совместимости.

patch: Добавить отсутствующие области действия, не удаляя другие.

idempotent: Привести области действия клиента в точное соответствие с указанными, добавляя и удаляя их при необходимости.

Варианты:

• "ignore" ← (по умолчанию)
• "patch"
• "idempotent"

client_template

псевдонимы: clientTemplate

string

Шаблон клиента, используемый для этого клиента. Если он не существует, это поле незаметно игнорируется. В API REST Keycloak это clientTemplate.

connection_timeout

integer

добавлено в community.general 4.5.0

Задает период ожидания HTTP-соединений с API Keycloak (в секундах).

По умолчанию: 10

consent_required

псевдонимы: consentRequired

boolean

Если параметр включен, пользователи должны дать согласие на доступ клиента. В REST API Keycloak этому соответствует consentRequired.

Варианты:

• false
• true

default_client_scopes

псевдонимы: defaultClientScopes

list / elements=string

добавлено в community.general 4.7.0

Список областей действия клиента по умолчанию.

См. client_scopes_behavior, чтобы узнать, как это работает при обновлении существующего клиента.

default_roles

псевдонимы: defaultRoles

list / elements=string

Список ролей клиента по умолчанию. Если указанные роли клиента еще не существуют, они создаются. В REST API Keycloak этому соответствует defaultRoles.

description

string

Описание клиента в Keycloak.

direct_access_grants_enabled

псевдонимы: directAccessGrantsEnabled

boolean

Включены ли для этого клиента прямые разрешения на доступ (OpenID Connect). В REST API Keycloak этому соответствует directAccessGrantsEnabled.

Варианты:

• false
• true

enabled

boolean

Включен ли этот клиент?

Варианты:

• false
• true

frontchannel_logout

псевдонимы: frontchannelLogout

boolean

Включен ли для этого клиента выход из системы через front channel. В REST API Keycloak этому соответствует frontchannelLogout.

Варианты:

• false
• true

full_scope_allowed

псевдонимы: fullScopeAllowed

boolean

Включена ли для этого клиента функция «Разрешить полную область действия». В REST API Keycloak этому соответствует fullScopeAllowed.

Варианты:

• false
• true

http_agent

string

добавлено в community.general 5.4.0

Настраивает заголовок HTTP User-Agent.

По умолчанию: "Ansible"

id

string

Идентификатор обрабатываемого клиента. Обычно это UUID. Необходимо указать либо его, либо client_id. Если указаны оба параметра, этот имеет приоритет.

implicit_flow_enabled

псевдонимы: implicitFlowEnabled

boolean

Включен ли для этого клиента неявный поток (OpenID Connect). В REST API Keycloak этому соответствует implicitFlowEnabled.

Варианты:

• false
• true

name

string

Имя клиента (оно отличается от client_id).

node_re_registration_timeout

псевдонимы: nodeReRegistrationTimeout

integer

Время ожидания повторной регистрации узла кластера для этого клиента. В REST API Keycloak этому соответствует nodeReRegistrationTimeout.

not_before

псевдонимы: notBefore

integer

Отозвать все токены, выданные этому клиенту до указанной даты (это временная метка UNIX). В REST API Keycloak этому соответствует notBefore.

optional_client_scopes

псевдонимы: optionalClientScopes

list / elements=string

добавлено в community.general 4.7.0

Список необязательных областей действия клиента.

См. client_scopes_behavior, чтобы узнать, как это работает при обновлении существующего клиента.

protocol

string

Тип клиента.

Только при создании, если protocol не задан, используется значение по умолчанию openid-connect.

Значение docker-v2 добавлено в community.general 8.6.0.

Варианты:

• "openid-connect"
• "saml"
• "docker-v2"

protocol_mappers

псевдонимы: protocolMappers

list / elements=dictionary

Список словарей, задающих сопоставители протокола для этого клиента. В REST API Keycloak этому соответствует protocolMappers.

config

dictionary

Словарь с параметрами конфигурации сопоставителя протокола; его содержимое зависит от значения protocol_mappers[].protocolMapper и описано только в исходном коде сопоставителей и их родительских классов. Пример приведен ниже. Проще всего получить допустимые значения конфигурации, выгрузив конфигурацию уже существующего сопоставителя протокола в режиме проверки в поле existing.

consentRequired

boolean

Указывает, должен ли пользователь дать клиенту согласие, чтобы этот сопоставитель был активен.

Варианты:

• false
• true

consentText

string

Отображаемое пользователю название согласия, которое он должен принять.

id

string

Обычно UUID, указывающий внутренний идентификатор этого экземпляра сопоставителя протокола.

name

string

Имя этого сопоставителя протокола.

protocol

string

Указывает, для какого протокола активен этот сопоставитель протокола.

Варианты:

• "openid-connect"
• "saml"
• "docker-v2"

protocolMapper

string

Внутреннее имя Keycloak для типа этого сопоставителя протокола. Привести полный список невозможно, поскольку пользователи Keycloak могут расширять его с помощью SPI. Однако по умолчанию в Keycloak версии 3.4 есть как минимум следующие сопоставители:

docker-v2-allow-all-mapper.

oidc-address-mapper.

oidc-full-name-mapper.

oidc-group-membership-mapper.

oidc-hardcoded-claim-mapper.

oidc-hardcoded-role-mapper.

oidc-role-name-mapper.

oidc-script-based-protocol-mapper.

oidc-sha256-pairwise-sub-mapper.

oidc-usermodel-attribute-mapper.

oidc-usermodel-client-role-mapper.

oidc-usermodel-property-mapper.

oidc-usermodel-realm-role-mapper.

oidc-usersessionmodel-note-mapper.

saml-group-membership-mapper.

saml-hardcode-attribute-mapper.

saml-hardcode-role-mapper.

saml-role-list-mapper.

saml-role-name-mapper.

saml-user-attribute-mapper.

saml-user-property-mapper.

saml-user-session-note-mapper.

Полный список доступных в установленной версии сопоставителей можно получить в консоли администратора: перейдите в раздел Server Info -> Providers и найдите записи в категории «protocol-mapper».

public_client

псевдонимы: publicClient

boolean

Является ли тип доступа этого клиента общедоступным. В REST API Keycloak этому соответствует publicClient.

Варианты:

• false
• true

realm

string

Область, в которой нужно создать клиента.

По умолчанию: "master"

redirect_uris

псевдонимы: redirectUris

list / elements=string

Допустимые URI перенаправления для этого клиента. В REST API Keycloak этому соответствует redirectUris.

refresh_token

string

добавлено в community.general 10.3.0

Токен обновления для аутентификации в API Keycloak.

registered_nodes

псевдонимы: registeredNodes

dictionary

Словарь зарегистрированных узлов кластера (ключом является nodename, а значением — время последней регистрации). В REST API Keycloak этому соответствует registeredNodes.

registration_access_token

псевдонимы: registrationAccessToken

string

Токен доступа для регистрации предоставляет клиентам доступ к службе регистрации клиентов. В REST API Keycloak этому соответствует registrationAccessToken.

root_url

псевдонимы: rootUrl

string

Корневой URL, добавляемый к относительным URL этого клиента. В REST API Keycloak этому соответствует rootUrl.

secret

string

При использовании client_authenticator_type=client-secret (значение по умолчанию) здесь можно указать секрет (иначе он будет сгенерирован, если еще не существует). При изменении секрета модуль сейчас не регистрирует изменение (но сохраняет новый секрет).

service_accounts_enabled

псевдонимы: serviceAccountsEnabled

boolean

Включены ли для этого клиента учетные записи служб (OpenID Connect). В REST API Keycloak этому соответствует serviceAccountsEnabled.

Варианты:

• false
• true

standard_flow_enabled

псевдонимы: standardFlowEnabled

boolean

Включен ли для этого клиента стандартный поток (OpenID Connect). В REST API Keycloak этому соответствует standardFlowEnabled.

Варианты:

• false
• true

state

string

Состояние клиента.

При значении present клиент создается (или обновляется, если уже существует).

При значении absent клиент удаляется, если он существует.

Варианты:

• "present" ← (по умолчанию)
• "absent"

surrogate_auth_required

псевдонимы: surrogateAuthRequired

boolean

Требуется ли замещающая аутентификация. В REST API Keycloak этому соответствует surrogateAuthRequired.

Варианты:

• false
• true

token

string

добавлено в community.general 3.0.0

Токен аутентификации для API Keycloak.

use_template_config

псевдонимы: useTemplateConfig

boolean

Использовать ли конфигурацию из client_template. В REST API Keycloak этому соответствует useTemplateConfig.

Варианты:

• false
• true

use_template_mappers

псевдонимы: useTemplateMappers

boolean

Использовать ли конфигурацию сопоставителей из client_template. В REST API Keycloak этому соответствует useTemplateMappers.

Варианты:

• false
• true

use_template_scope

псевдонимы: useTemplateScope

boolean

Использовать ли конфигурацию областей действия из client_template. В REST API Keycloak этому соответствует useTemplateScope.

Варианты:

• false
• true

valid_post_logout_redirect_uris

aliases: postLogoutRedirectUris

list / elements=string

добавлено в community.general 12.4.0

Допустимые URI перенаправления после выхода для этого клиента.

Это хранится как post.logout.redirect.uris в атрибутах клиента.

Используйте + как единственный элемент списка, чтобы разрешить все URI перенаправления.

validate_certs

boolean

Проверять сертификаты TLS (не отключайте эту проверку в production).

Варианты:

• false
• true ← (по умолчанию)

web_origins

aliases: webOrigins

list / elements=string

Список разрешённых источников CORS. В API REST Keycloak это webOrigins.

action_group

Группа действий: community.general.keycloak

добавлено в community.general 10.2.0

Используйте group/community.general.keycloak в module_defaults, чтобы задать значения по умолчанию для этого модуля.

check_mode

Поддержка: full

Может работать в check_mode и возвращать прогноз изменения состояния, не изменяя целевой объект.

diff_mode

Поддержка: full

В режиме diff возвращает сведения об изменениях (или о возможных изменениях в check_mode).

end_state

dictionary

Представление клиента после выполнения модуля (пример сокращён).

Возвращается: при успешном выполнении

Пример: {"adminUrl": "http://www.example.com/admin_url", "attributes": {"request.object.signature.alg": "RS256"}}

existing

dictionary

Представление существующего клиента (пример сокращён).

Возвращается: всегда

Пример: {"adminUrl": "http://www.example.com/admin_url", "attributes": {"request.object.signature.alg": "RS256"}}

msg

string

Сообщение о выполненном действии.

Возвращается: всегда

Пример: "Client testclient has been updated"

proposed

dictionary

Представление предлагаемого клиента.

Возвращается: всегда

Пример: {"clientId": "test"}