Keycloak es el único proveedor que hemos probado nosotros mismos: Keycloak 26.4, conectado mediante OpenID Connect, en una instalación de prueba. Más abajo se indica lo que probamos. Estos son los pasos tal como los presenta Tamaat, con los nombres de Keycloak al lado. Los nombres de la consola de Keycloak se dan en inglés; su consola puede mostrarlos en otro idioma.
Antes de empezar
- Usted es administrador de la organización de Tamaat, en el plan Professional o en uno superior.
- Usted puede crear un cliente en el realm de Keycloak en el que su gente inicia sesión.
- Su Keycloak responde en una dirección
httpsa la que Tamaat puede llegar. - Las personas que iniciarán sesión tienen una dirección de correo en Keycloak, y coincide con la dirección con la que se las invita a Tamaat.
1. Crear el cliente en Keycloak
En su realm, cree un cliente para Tamaat con esta configuración:
| Opción de Keycloak | Valor |
|---|---|
| Client type | OpenID Connect |
| Client ID | Un nombre que usted elija, por ejemplo tamaat |
| Client authentication | Activado |
| Standard flow | Activado |
| Valid redirect URIs | Déjelo por ahora. Tamaat le da la dirección en el paso 3. |
Guarde el cliente y después copie su secreto de cliente desde las credenciales del cliente.
2. Agregar la conexión en Tamaat
- 1
Abra Configuración y elija Organización → Inicio de sesión único. En Conexión, elija "Agregar conexión".
- 2
En "Proveedor de identidad", elija Keycloak.
- 3
En "Desde Keycloak", complete:
- "Nombre de la conexión": lo que su gente verá cuando inicie sesión, por ejemplo el nombre de su empresa.
- "Emisor": la dirección de su realm, con la forma
https://{host}/realms/{realm}. Cópiela de Keycloak en lugar de escribirla; debe coincidir exactamente. - "ID de cliente": el ID de cliente que eligió en el paso 1.
- "Secreto de cliente": el secreto que copió en el paso 1.
- 4
Elija "Guardar". El formulario dice "Guardado." y muestra un paso nuevo, "Copiar en Keycloak".
3. Copiar la dirección de redirección en Keycloak
"Copiar en Keycloak" muestra dos valores, cada uno con un botón "Copiar":
- "URI de redirección": péguela en Valid redirect URIs en el cliente de Keycloak, y guarde el cliente.
- "Dirección de inicio de sesión": la dirección que comienza un inicio de sesión a través de esta conexión. Guárdela para repartirla como marcador.
4. Probar y habilitar
- 1
En Tamaat, elija "Guardar y probar". Se lo envía a la página de inicio de sesión de su Keycloak.
- 2
Inicie sesión como cualquier persona del realm. Usted vuelve al resultado. "La prueba no inició la sesión de nadie."
- 3
En "Aprobada", revise las líneas: "ID permanente recibido", "Correo electrónico recibido" y "Hora de inicio de sesión recibida" deben estar las tres.
- 4
Elija "Habilitar conexión". La conexión dice "Activa".
- 5
En Política de inicio de sesión, elija "Opcional": "Contraseña o inicio de sesión único".
Su gente ya puede iniciar sesión a través de Keycloak. Las contraseñas siguen funcionando.
Direcciones de correo
Tamaat acepta una dirección de correo de Keycloak sin otra comprobación solo cuando Keycloak la marca como verificada. No hemos probado cada uno de estos casos en Keycloak. El resultado de la prueba le dice en qué caso está:
| Resultado de la prueba | Qué encuentra una persona nueva |
|---|---|
| "Correo electrónico: confirmado por tu proveedor" | Entra directamente. |
| "Correo electrónico: las personas confirman con un código la primera vez" | Escribe un código que Tamaat le envía por correo, una sola vez. |
| "El proveedor de identidad indica que el correo electrónico de esta persona no está verificado. Verifícalo en tu proveedor y pídele que vuelva a iniciar sesión." | No entra hasta que la dirección esté verificada en Keycloak. |
Grupos (opcional)
Configure esto solo si quiere abrir un mapa o un panel publicado a grupos elegidos de Keycloak. Los grupos nunca definen un rol en Tamaat. No hemos probado los grupos en Keycloak; la prueba de la conexión muestra si llegan.
- En Keycloak, agregue al cliente un asignador (mapper) Group Membership. Ponga
groupsen Token Claim Name, desactive Full group path y active Add to ID token. - En Tamaat, elija "Editar" en la conexión. Escriba
groupsen "Dónde indica los grupos tu proveedor" y deje "Los grupos se envían como" en "Nombres". - Elija "Guardar y probar", inicie sesión como alguien que esté en un grupo y busque "Grupos: recibidos" con el número de grupos.
- Elija "Habilitar conexión" otra vez para que la versión nueva sea la que está en uso.
Keycloak envía nombres de grupo, y los nombres se pueden cambiar. Cuando usted limita por nombre un mapa o un panel publicado, Tamaat se lo recuerda: "Los nombres de grupo se pueden cambiar en tu proveedor. Cualquiera que pueda crear allí un grupo con este nombre puede abrir esto."
Qué probamos
En Keycloak 26.4, en una instalación de prueba, probamos: agregar, probar y habilitar una conexión; iniciar sesión con la política en Opcional; vincular una cuenta de Tamaat existente; rechazar a una persona que no había sido invitada; exigir el inicio de sesión único con una persona de recuperación; y rechazar una contraseña una vez que era obligatorio.
Si la prueba falla
El resultado muestra una frase que dice qué cambiar. Las que más aparecen con Keycloak:
| Frase | Qué revisar |
|---|---|
| "El proveedor de identidad rechazó nuestra solicitud. Revisa el ID de cliente, el secreto de cliente y la URI de redirección." | La URI de redirección está en Valid redirect URIs, y el ID de cliente y el secreto son los de este cliente. |
| "El documento de descubrimiento del proveedor nombra a otro emisor. Revisa la dirección del emisor." | El "Emisor" es exactamente la dirección de su realm, con el mismo host que usa su gente. |
| "No se pudo contactar al proveedor de identidad. Revisa la dirección del emisor e inténtalo de nuevo." | Su Keycloak responde en esa dirección desde fuera de su red. |
Solucionar problemas del inicio de sesión único enumera todas las frases.