Особенности архитектуры сетевой системы защиты информации с применением Keycloak

[Granulex]

Keycloak в схеме с LDAP/AD — одна из немногих зрелых open-source альтернатив проприетарным IAM. Но кластеризация без правильной репликации сессий превращает «отказоустойчивый» деплой в иллюзию: все ноды живые, а сессии теряются при переключении. Отдельный административный контур для Keycloak — правило, которое почему-то игнорируют до первого инцидента.

[BlackEric001]

Да, после того как Identity Server стал платным пришлось перейти на Keycloak.

А отдельный контур - это железо которого всегда не хватает. Поэтому так.

[Granulex]

Понятно, реальность диктует компромиссы. Если отдельного железа нет — хотя бы отдельный VLAN для admin-интерфейса с жёсткими ACL, это уже снижает поверхность атаки. А с переходом с Identity Server интересно — там же форматы токенов разные, как решали совместимость для уже выданных сессий?

[BlackEric001]

Никак. Все перелогинились и всё. У нас это не проблема.

[BigD]

А как посадить только админ интерфейс на отдельный VLAN? Через второй сетевой интерфейс?

[BlackEric001]

Да

[BigD]

Не нашел, как именно это сделать.

[BlackEric001]

У нас вроде бы так: сервер Keycloak подключается к двум сетям (или имеет два IP-адреса) либо находится в зоне видимости прокси, который смотрит в оба VLAN. HAProxy в режиме обратного прокси слушает два разных IP или порта. А фаервол разрешает доступ к админ-порту/IP только из доверенного VLAN.

[BigD]

А версия свежая?

По портам действительно можно разделить, но не по интерфейсам, насколько я знаю

[BlackEric001]

Была 26.0. что-то там. Но финальные настройки на проде делал не я. Может в итоге и порты не хосты. Точно не скажу.