Luego de evaluar la clase OpenIdConnectAuthenticationOptions
de OWIN para la implementación nativa, me he percatado que tiene una propiedad llamada: UseTokenLifetime
. Básicamente esto permite definir el tiempo de expiración de la Cookie emitida por el callback de la aplicación cliente (Relying Party) igual al tiempo de expiración del id_token. Al colocar esta propiedad en false
he logrado la autenticación y eliminado el problema de la redirección.
Así que todo se debía al tiempo de expiración del Token, por lo cual en este punto existen tres alternativas.
1. Colocar la propiedad UseTokenLifetime en false. Esto instruye a la aplicación cliente a usar un tiempo de expiración diferente para el tipo de autenticación basado en Cookies, con lo cual ya no se toma el tiempo de expiración del id_token.
2. Aumentar el tiempo de expiración del id_token. Configurar en Keycloak el tiempo de expiración del id_token para que sea mayor. Por defecto, para el flujo estándar viene en 1 minuto; para el implícito viene en 15 minutos. Al usar un tipo de respuesta code id_token
se está usando un flujo híbrido, pero Keycloak está tomando el tiempo de expiración para el flujo estándar, por lo cual es necesario aumentar este valor.
3. Usar un tipo de respuesta id_token únicamente (Sin code). Como Keycloak tiene dos tipos de tiempos de expiración, como menciono en el punto anterior, donde uno está para el flujo implícito; puedes instruir a OWIN a que use un flujo implícito (No híbrido), para ello podrías colocar el tipo de respuesta a id_token
Esto se hace con la propiedad: ResponseType = OpenIdConnectResponseType.IdToken
En mi caso he optado por la tercera alternativa, pues desconozco el impacto en la primera alternativa y considero innecesario aumentar el tiempo del access token para el flujo estándar como se indica en la segunda.
He dado con el problema analizando en detalle las peticiones entre Auth0 y Keycloak y también basándome en el siguiente artículo: https://www.scottbrady91.com/OpenID-Connect/Help-Im-Stuck-in-a-Redirect-Loop el cual ha sido de gran ayuda para identificar que el problema se encontraba en el manejo de cookies.
Actualización
Usar el flujo implícito inhabilita la capacidad de tener Refresh Tokens.