2

Durante estos días he estado trabajando en la integración del Identity Provider Keycloak como mecanismo de Single Sign-On para aplicaciones en diferentes tecnologías, entre ellas una aplicación legada que se encuentra en ASP.Net MVC versión 5.

Para lograrlo he optado por dos alternativas, sin tener éxito en ambas:

1. Usar Keycloak OWIN Security Client.

Buscando un client adapter para Keycloak he dado con esta librería: https://github.com/mattmorg55/Owin.Security.Keycloak la cual es un fork de otro proyecto de github ya desatendido, en ella se explica la integración de la aplicación ASP.Net MVC, demostrando un tutorial para el caso. Siguiendo los pasos del tutorial he colocado el siguiente código en la clase Startup.cs en la raíz del proyecto:


            // Enable Kentor Cookie Saver middleware. Fix OWIN Cookies Bug
            app.UseKentorOwinCookieSaver();

app.UseCookieAuthentication(new CookieAuthenticationOptions
            {
                AuthenticationType = "KeycloakOwinAuthenticationSample_cookie_auth"
            });
            app.SetDefaultSignInAsAuthenticationType("KeycloakOwinAuthenticationSample_cookie_auth");

app.UseKeycloakAuthentication(new KeycloakAuthenticationOptions
            {
                ClientId = "legacy-app",
                CallbackPath = "sso/callback", 
                ClientSecret = "xx-yy-cc",
                VirtualDirectory = "", 
                Realm = "master", 
                UseRemoteTokenValidation = true, 
                DisableAudienceValidation = true, 
                DisableIssuerValidation = true, 
                DisableAllRefreshTokenValidation = true, 
                KeycloakUrl = "http://localhost:8180/auth", 
                SignInAsAuthenticationType = "KeycloakOwinAuthenticationSample_cookie_auth"
            });

Luego de ello coloco la etiqueta [Authorize] en algún Action cualquiera, en este caso en HomeController->About. Según el tutorial, estos son los únicos pasos requeridos por lo cual ya debería estar completa la integración. Sin embargo, al autenticar el usuario e intentar acceder al Action obtengo una redirección infinita entre el Identity Provider y mi aplicación cliente.

Básicamente sucede el siguiente flujo después de la autenticación.

  1. El usuario accede al recurso o Action protegido, lo cual causa una redirección a Keycloak.

  2. Keycloak determina que el usuario ya está autenticado, por lo cual redirecciona al callback configurado en cliente.

  3. El callback del cliente coloca algunas cookies de sesión (Tengo entendido que se hace para persistir información del usuario) y redirecciona al recurso protegido.

  4. Al acceder al recurso protegido se determina que el usuario no está autenticado y se repite el paso 1.

2. Usar OWIN OpenId Connect librería nativa.

Debido que el proyecto anterior no cuenta con mucha actividad decidí usar el OWIN OpenId Connect que ofrece Microsoft en su implementación Katana. Quizás esto podría solucionar el problema de la redirección. Para ello me he basado en un tutorial para OpenId Connect ofrecido por Auth0 y simplemente he modificado algunos atributos para comunicarse con Keycloak (Teniendo en cuenta que no existe una dependencia directa a Auth0). Esta es la Url del tutorial de Auth0: https://auth0.com/docs/quickstart/webapp/aspnet-owin/01-login. Siguiendo las instrucciones modifiqué el archivo Startup.cs para colocar el siguiente código

           // Enable Kentor Cookie Saver middleware. Fix OWIN Cookies Bug
            app.UseKentorOwinCookieSaver();

            // Set Cookies as default authentication type
            app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);
            app.UseCookieAuthentication(new CookieAuthenticationOptions
            {
                AuthenticationType = CookieAuthenticationDefaults.AuthenticationType,
                LoginPath = new PathString("/Account/Login")
            });

            // Configure Auth0 authentication
            app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
            {
                AuthenticationType = "Kc",
                RequireHttpsMetadata = false, 

                Authority = "http://192.168.99.100:8180/auth/realms/master",
                ClientId = "legacy-app",
                ClientSecret = "xx-yy-zz",
                RedirectUri = "/sso/callback",
                ResponseType = OpenIdConnectResponseType.CodeIdToken,
                Scope = "openid profile",

                TokenValidationParameters = new TokenValidationParameters
                {
                    NameClaimType = "name"
                }
            });

Nuevamente me intento autenticar a un recurso protegido con la etiqueta [Authorize] y sucede el mismo comportamiento de las redirecciones.

Este es el seguimiento de las peticiones cuando se usa la segunda alternativa (Las tramas para la primera alternativa son bastante similares, sólo varían algunas propiedades enviadas en la URL a Keycloak).

-->
GET /MvcApplication/Home/About HTTP/1.1
Host: localhost
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.132 Safari/537.36
Referer: http://localhost/MvcApplication/
Accept-Encoding: gzip, deflate
Accept-Language: es-ES,es;q=0.9
Cookie: ASP.NET_SessionId=lm0gqsncegs5gtek5tpear2j; .AspNet.Cookies=chSkdYjwrliAfiraozU-lqxPeAHsMWg_X678A6a_2YsRFCB8bNimXz7SJqfCYA0jOZ9Q1BWgvX1VYVogp-X7zMkzaSmCgicvFLG4c7yBikDKE7IXe4qNJJL0_TZ7qrq7E6H9KlVV9vtjymfAaURGiKsOi5jbQQjAGNYE6M3bGwVP7UFiC9fY00Y3MRx7-4cG_K9JhVfeWiT9w7uxgwSTOgg_gY_wtJSnQh1lsRZAACQwC069eEa6oVYzh_zv1ppnRxDuOH1x91WVmhTO6Zab3RfJYfmTbrHb44i7TU2SOevX6SebsdA7DPmBUG6OZZQI_LAwZK9QGaGwod-nOcciE0wRVdgYC8_ubT5BedXJSiDMHC5c6pOY_tynzt38jW0Ftj91r3HszRke-atYwwSfAAGR1DF5u_kjDVgEKpPbIeBUdqA3Jfj0l_63Kxtiq5BOVVmgcVf9x5vQiNEh3pAKeFqF1k3QslBREmx3azQfmEAZRzjxtshSh5UESR1DyeR4AJobUt4ZN9rPR4RH_qtY_c9gxFHTcUvw1TR1GNApz5_vui7B8HuMZBJtrWFafiSNMv64p624iM5r2O0RCAmP-vs_CXYz73cP-z0Mqir8PDvTaWDWei5kJIMCsDYQYggMrEf4dnLq9aPTfDhtDnCR9-02phTFeAz2ku5NQHcW7MoKVuHZtyVejYWz3UyaSzE85WeT7ut77PifpSH2JeRIxCJpKe0rtnlnEPOTVcOOPovWIzMB2IRXciIBbwFguOqlbtytXjfK5WWGGrX4aAaMQRkHQoTLyYxucNQQupNzkT3XiEah6mFIG5MqbcEDzNYC34c0UTqQ2UNTopNo7ZYaURhNUap81wm4nuVy6JUvmnGZXthzaiO83A5IxgO_9BFFXJrj--89kExAo7EAbur0wJrQYRWAH7bZQDOfqxiIhtDKl31ZCG4Rm4VAJwb_VY42jWgThsIa5O4_ptnGOYW0rZmmNWsz14D3QewMnsKpltIUSscZj8m7FuhmG3QB1T7ZssrcVaQQZpbGwr8CIzY2-eUrdq-CavQ-ltZLosUMiHMNRked6nKLjklJVp09PgMj47nurhqPvrLYc1P8A_0OE5W8cac5SGceMFkxbjqZPFAoYVb1uEj-vSNy2eMqUGNXc024WULDPUa6cga_X66IJqYDuwVoPpa3O5OKokXdSI4
<--
HTTP/1.1 302 Found
Cache-Control: private
Location: http://192.168.99.100:8180/auth/realms/master/protocol/openid-connect/auth?client_id=legacy-app&redirect_uri=http%3A%2F%2Flocalhost%2FMvcApplication%2Fcallback&response_mode=form_post&response_type=code%20id_token&scope=openid%20profile&state=OpenIdConnect.AuthenticationProperties%3DXsEYCcN2tqz_dCB62qhJfJYGRsGFedyRuxb65DvfcEC7O5st3YC3dzEG8nq3SN0wXwBbDn38RjVwJZsROFp0cXtWfjtXzqHgCcOKDdKWJqi8-cp7TE3hUWipgX-LBp6VJBYKwm6ZdZ3FV-e6jvvHWTRzb-xNO8G-RFukqT0JsaPI7fm7-GRrHFMxjMp_t0nw1JoTAOa_VQgxXBx9mj_fyQ&nonce=637026269399520153.MjQzMzkyMDktYjliNy00YzFjLTlkZDUtZDU1OTkxZjk1MzJlYTQzZTRhMTctZDM4Yy00NjI4LWFhMTUtMDkxNjMxOTE4M2Q2&x-client-SKU=ID_NET451&x-client-ver=5.2.2.0
Server: Microsoft-IIS/10.0
X-AspNetMvc-Version: 5.2
X-AspNet-Version: 4.0.30319
Set-Cookie: OpenIdConnect.nonce.jkFbM9r03LD06UMIPKrj98gXVUhDCnpgzHoYD7MyouU%3D=V3VtOHRoV0VMLTg3YU1kSnc4LW8tbThqb08xUVVnZkNiWElwS3ZGQkFVeVg0aXBYMzR3d3JzRUE3VThpSmdRSE4ta3VnTndPaFRTMkdoOXVjWGZSSjhlZ2duZ2Fpa01qckdTd0pJNXN0Z3hKeVJnMlpGZWFWVHJmbkxXUlFMcW5uVmtwM1RjdkZQR0RmSDJPZ2ZpTDkyU1RjWjdCQ2FNZllSV0g0ZDZzbUJ3aFNhUWRQUUotc1BSY2xHTXBxTmpDdjhlWDhvQVd3LVM4cnJlV09ueTV0TjZZMWdHeUlPdmpPWG5ZR2tsWElhVQ%3D%3D; path=/; expires=Wed, 28-Aug-2019 22:23:59 GMT; HttpOnly
Set-Cookie: OpenIdConnect.nonce.jkFbM9r03LD06UMIPKrj98gXVUhDCnpgzHoYD7MyouU%3D=V3VtOHRoV0VMLTg3YU1kSnc4LW8tbThqb08xUVVnZkNiWElwS3ZGQkFVeVg0aXBYMzR3d3JzRUE3VThpSmdRSE4ta3VnTndPaFRTMkdoOXVjWGZSSjhlZ2duZ2Fpa01qckdTd0pJNXN0Z3hKeVJnMlpGZWFWVHJmbkxXUlFMcW5uVmtwM1RjdkZQR0RmSDJPZ2ZpTDkyU1RjWjdCQ2FNZllSV0g0ZDZzbUJ3aFNhUWRQUUotc1BSY2xHTXBxTmpDdjhlWDhvQVd3LVM4cnJlV09ueTV0TjZZMWdHeUlPdmpPWG5ZR2tsWElhVQ%3D%3D; expires=Wed, 28-Aug-2019 22:23:59 GMT; path=/; HttpOnly
X-Powered-By: ASP.NET
Date: Wed, 28 Aug 2019 22:08:59 GMT
Connection: close
Content-Length: 0
-->
GET /auth/realms/master/protocol/openid-connect/auth?client_id=legacy-app&redirect_uri=http%3A%2F%2Flocalhost%2FMvcApplication%2Fcallback&response_mode=form_post&response_type=code%20id_token&scope=openid%20profile&state=OpenIdConnect.AuthenticationProperties%3DXsEYCcN2tqz_dCB62qhJfJYGRsGFedyRuxb65DvfcEC7O5st3YC3dzEG8nq3SN0wXwBbDn38RjVwJZsROFp0cXtWfjtXzqHgCcOKDdKWJqi8-cp7TE3hUWipgX-LBp6VJBYKwm6ZdZ3FV-e6jvvHWTRzb-xNO8G-RFukqT0JsaPI7fm7-GRrHFMxjMp_t0nw1JoTAOa_VQgxXBx9mj_fyQ&nonce=637026269399520153.MjQzMzkyMDktYjliNy00YzFjLTlkZDUtZDU1OTkxZjk1MzJlYTQzZTRhMTctZDM4Yy00NjI4LWFhMTUtMDkxNjMxOTE4M2Q2&x-client-SKU=ID_NET451&x-client-ver=5.2.2.0 HTTP/1.1
Host: 192.168.99.100:8180
Upgrade-Insecure-Requests: 1
Referer: http://localhost/MvcApplication/
Accept-Encoding: gzip, deflate
Accept-Language: es-ES,es;q=0.9
Cookie: AUTH_SESSION_ID=026ab196-5941-4965-a2a7-d0b752c98266.50a060c13e2c; KEYCLOAK_IDENTITY=eyJhbGciOiJIUzI1NiIsInR5cCIgOiAiSldUIiwia2lkIiA6ICJkNjJkODY4OC1lMWU3LTQzMDctYmNlNy02ZWZmMDM3NjAzNDkifQ.eyJqdGkiOiI3OTEzODAyNy1iZDM0LTRjYzYtYmU0Yy0wNWM4ZjQ3YWY0NDciLCJleHAiOjE1NjcwNjYwNDMsIm5iZiI6MCwiaWF0IjoxNTY3MDMwMDQzLCJpc3MiOiJodHRwOi8vMTkyLjE2OC45OS4xMDA6ODE4MC9hdXRoL3JlYWxtcy9tYXN0ZXIiLCJzdWIiOiIzYTc1ZmZkMC0wYjBmLTQyNTUtYjRlNS0zNTE1ZDU1NzljMWQiLCJ0eXAiOiJTZXJpYWxpemVkLUlEIiwiYXV0aF90aW1lIjowLCJzZXNzaW9uX3N0YXRlIjoiMDI2YWIxOTYtNTk0MS00OTY1LWEyYTctZDBiNzUyYzk4MjY2Iiwic3RhdGVfY2hlY2tlciI6InZFdmdYci1XbUNTbUNxa29aUENoS01kUmpJeHVfaFQ0ZTRkbEhVbjlfazQifQ.PEM6Q1MDeY84MAka3pFf36_OVgLpMZtGgwmQuarG8T8; KEYCLOAK_SESSION=master/3a75ffd0-0b0f-4255-b4e5-3515d5579c1d/026ab196-5941-4965-a2a7-d0b752c98266
Connection: close
<--
HTTP/1.1 200 OK
Connection: close
Cache-Control: no-store, must-revalidate, max-age=0
Set-Cookie: KC_RESTART=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6ImQ2MmQ4Njg4LWUxZTctNDMwNy1iY2U3LTZlZmYwMzc2MDM0OSJ9.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.VZgiMrqraq33tli-9dBzWBDI0PdCwc8IBI30BJwV5b0; Version=1; Path=/auth/realms/master/; HttpOnly
Set-Cookie: KC_RESTART=; Version=1; Expires=Thu, 01-Jan-1970 00:00:10 GMT; Max-Age=0; Path=/auth/realms/master/; HttpOnly
Set-Cookie: KEYCLOAK_IDENTITY=eyJhbGciOiJIUzI1NiIsInR5cCIgOiAiSldUIiwia2lkIiA6ICJkNjJkODY4OC1lMWU3LTQzMDctYmNlNy02ZWZmMDM3NjAzNDkifQ.eyJqdGkiOiJhODk4Y2FjNi1lYTU4LTRiMGItOWM3OS1hMDNiZjdmNzlmMjkiLCJleHAiOjE1NjcwNjYwNTYsIm5iZiI6MCwiaWF0IjoxNTY3MDMwMDU2LCJpc3MiOiJodHRwOi8vMTkyLjE2OC45OS4xMDA6ODE4MC9hdXRoL3JlYWxtcy9tYXN0ZXIiLCJzdWIiOiIzYTc1ZmZkMC0wYjBmLTQyNTUtYjRlNS0zNTE1ZDU1NzljMWQiLCJ0eXAiOiJTZXJpYWxpemVkLUlEIiwiYXV0aF90aW1lIjowLCJzZXNzaW9uX3N0YXRlIjoiMDI2YWIxOTYtNTk0MS00OTY1LWEyYTctZDBiNzUyYzk4MjY2Iiwic3RhdGVfY2hlY2tlciI6InZFdmdYci1XbUNTbUNxa29aUENoS01kUmpJeHVfaFQ0ZTRkbEhVbjlfazQifQ.ZyRSyPaGbxPdTYtzdXKfrloB5uPH8Ao9iWECaIgtuwk; Version=1; Path=/auth/realms/master/; HttpOnly
Set-Cookie: KEYCLOAK_SESSION=master/3a75ffd0-0b0f-4255-b4e5-3515d5579c1d/026ab196-5941-4965-a2a7-d0b752c98266; Version=1; Expires=Thu, 29-Aug-2019 08:07:36 GMT; Max-Age=36000; Path=/auth/realms/master/
Set-Cookie: KEYCLOAK_REMEMBER_ME=; Version=1; Comment=Expiring cookie; Expires=Thu, 01-Jan-1970 00:00:10 GMT; Max-Age=0; Path=/auth/realms/master/; HttpOnly
P3P: CP="This is not a P3P policy!"
Content-Type: text/html;charset=UTF-8
Content-Length: 2380
Date: Wed, 28 Aug 2019 22:07:36 GMT
-->
POST /MvcApplication/callback HTTP/1.1
Host: localhost
Content-Length: 1799
Cache-Control: max-age=0
Origin: http://192.168.99.100:8180
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Referer: http://192.168.99.100:8180/auth/realms/master/protocol/openid-connect/auth?client_id=legacy-app&redirect_uri=http%3A%2F%2Flocalhost%2FMvcApplication%2Fcallback&response_mode=form_post&response_type=code%20id_token&scope=openid%20profile&state=OpenIdConnect.AuthenticationProperties%3DXsEYCcN2tqz_dCB62qhJfJYGRsGFedyRuxb65DvfcEC7O5st3YC3dzEG8nq3SN0wXwBbDn38RjVwJZsROFp0cXtWfjtXzqHgCcOKDdKWJqi8-cp7TE3hUWipgX-LBp6VJBYKwm6ZdZ3FV-e6jvvHWTRzb-xNO8G-RFukqT0JsaPI7fm7-GRrHFMxjMp_t0nw1JoTAOa_VQgxXBx9mj_fyQ&nonce=637026269399520153.MjQzMzkyMDktYjliNy00YzFjLTlkZDUtZDU1OTkxZjk1MzJlYTQzZTRhMTctZDM4Yy00NjI4LWFhMTUtMDkxNjMxOTE4M2Q2&x-client-SKU=ID_NET451&x-client-ver=5.2.2.0
Accept-Encoding: gzip, deflate
Accept-Language: es-ES,es;q=0.9
Cookie: ASP.NET_SessionId=lm0gqsncegs5gtek5tpear2j; .AspNet.Cookies=chSkdYjwrliAfiraozU-lqxPeAHsMWg_X678A6a_2YsRFCB8bNimXz7SJqfCYA0jOZ9Q1BWgvX1VYVogp-X7zMkzaSmCgicvFLG4c7yBikDKE7IXe4qNJJL0_TZ7qrq7E6H9KlVV9vtjymfAaURGiKsOi5jbQQjAGNYE6M3bGwVP7UFiC9fY00Y3MRx7-4cG_K9JhVfeWiT9w7uxgwSTOgg_gY_wtJSnQh1lsRZAACQwC069eEa6oVYzh_zv1ppnRxDuOH1x91WVmhTO6Zab3RfJYfmTbrHb44i7TU2SOevX6SebsdA7DPmBUG6OZZQI_LAwZK9QGaGwod-nOcciE0wRVdgYC8_ubT5BedXJSiDMHC5c6pOY_tynzt38jW0Ftj91r3HszRke-atYwwSfAAGR1DF5u_kjDVgEKpPbIeBUdqA3Jfj0l_63Kxtiq5BOVVmgcVf9x5vQiNEh3pAKeFqF1k3QslBREmx3azQfmEAZRzjxtshSh5UESR1DyeR4AJobUt4ZN9rPR4RH_qtY_c9gxFHTcUvw1TR1GNApz5_vui7B8HuMZBJtrWFafiSNMv64p624iM5r2O0RCAmP-vs_CXYz73cP-z0Mqir8PDvTaWDWei5kJIMCsDYQYggMrEf4dnLq9aPTfDhtDnCR9-02phTFeAz2ku5NQHcW7MoKVuHZtyVejYWz3UyaSzE85WeT7ut77PifpSH2JeRIxCJpKe0rtnlnEPOTVcOOPovWIzMB2IRXciIBbwFguOqlbtytXjfK5WWGGrX4aAaMQRkHQoTLyYxucNQQupNzkT3XiEah6mFIG5MqbcEDzNYC34c0UTqQ2UNTopNo7ZYaURhNUap81wm4nuVy6JUvmnGZXthzaiO83A5IxgO_9BFFXJrj--89kExAo7EAbur0wJrQYRWAH7bZQDOfqxiIhtDKl31ZCG4Rm4VAJwb_VY42jWgThsIa5O4_ptnGOYW0rZmmNWsz14D3QewMnsKpltIUSscZj8m7FuhmG3QB1T7ZssrcVaQQZpbGwr8CIzY2-eUrdq-CavQ-ltZLosUMiHMNRked6nKLjklJVp09PgMj47nurhqPvrLYc1P8A_0OE5W8cac5SGceMFkxbjqZPFAoYVb1uEj-vSNy2eMqUGNXc024WULDPUa6cga_X66IJqYDuwVoPpa3O5OKokXdSI4; OpenIdConnect.nonce.jkFbM9r03LD06UMIPKrj98gXVUhDCnpgzHoYD7MyouU%3D=V3VtOHRoV0VMLTg3YU1kSnc4LW8tbThqb08xUVVnZkNiWElwS3ZGQkFVeVg0aXBYMzR3d3JzRUE3VThpSmdRSE4ta3VnTndPaFRTMkdoOXVjWGZSSjhlZ2duZ2Fpa01qckdTd0pJNXN0Z3hKeVJnMlpGZWFWVHJmbkxXUlFMcW5uVmtwM1RjdkZQR0RmSDJPZ2ZpTDkyU1RjWjdCQ2FNZllSV0g0ZDZzbUJ3aFNhUWRQUUotc1BSY2xHTXBxTmpDdjhlWDhvQVd3LVM4cnJlV09ueTV0TjZZMWdHeUlPdmpPWG5ZR2tsWElhVQ%3D%3D
Connection: close

code=d1ab4d95-ed2c-4a23-976d-81012f2d119c.026ab196-5941-4965-a2a7-d0b752c98266.e13d7130-cceb-440d-9a00-ad674c9ca4c8&id_token=<id_token>&state=OpenIdConnect.AuthenticationProperties%3DXsEYCcN2tqz_dCB62qhJfJYGRsGFedyRuxb65DvfcEC7O5st3YC3dzEG8nq3SN0wXwBbDn38RjVwJZsROFp0cXtWfjtXzqHgCcOKDdKWJqi8-cp7TE3hUWipgX-LBp6VJBYKwm6ZdZ3FV-e6jvvHWTRzb-xNO8G-RFukqT0JsaPI7fm7-GRrHFMxjMp_t0nw1JoTAOa_VQgxXBx9mj_fyQ&session_state=026ab196-5941-4965-a2a7-d0b752c98266
<--
HTTP/1.1 302 Found
Cache-Control: private
Pragma: no-cache
Expires: -1
Location: /MvcApplication/Home/About
Server: Microsoft-IIS/10.0
Set-Cookie: OpenIdConnect.nonce.jkFbM9r03LD06UMIPKrj98gXVUhDCnpgzHoYD7MyouU%3D=; path=/; expires=Thu, 01-Jan-1970 00:00:00 GMT
Set-Cookie: .AspNet.Cookies=v9AQvWFnuEhLwmhw_umfiW_FkqeQiYG3-fSSpBNIfvXwtwaFm-3x7uT4F7fu9iA_5F77YzS22MoFCNSV0jCUhbxNmpZmp9FKIKXu0dAmglE0S2Gbgj6Hgcm4QZNUEpDRixx9imiwYclnUR4dQCKbj4abweXSpLFOkUI20yFHg5Uhje601xsGPpysWLMsqdkXw7_pL7AOYYStbbNOw-Qxjf-d9Sx2x0QSiDAi6XQBGsqovncSOITs3rH-BJ0o0sg1i1eVvsfsFSV4aVUuDftlbM65PpF4t-KdzB9ajilsaR88rm_pigF5vlHorg3tPhdD8uW3XgtWqiV7jkibHCCcnrJ-RnAsY2g9VbfSM7UddjPbAsiEfX7E9XyoAArOJsFZzNhr-UhSLc_f1984lKoommZSGV4Fy07VJmuSidJOMqGX9FXpobYKYGVR1EOoJZ50uGh0KjnvLuwBe76C0aWREXq0SJFwOVXl5oH12eK5lWRqH05rcrgTr7Z9Z2N-Df-u1V4zb3sn2rnIFXboXXV6hAEUKKhOsf8IA3XbOft9z2_7aqVqiMylQ6CI0CCW8G5L9xCM1hOb3UCyujLq67MTZ9-o3LHhK9mqSsD5swyuMbMYjyWqVcKnobmLu5SV5B-2fAOs7hOTVFgXBaq0DPfSzwXnwYMRiRf20ePlDmMEgu9eHimaw7k9CecYFm3mvjuqIfhd_O-7-UpEJDvP4CbgD34utwQImrOtkEULmLbTlHp0Ga7gSKJmlomAhNRwDiCFVQ6R5-SDujwIKcyjzeMrvlfTB7q6DHHVRqlj9Zc6rFPtNDv6ufthlUvXVEzmrPXA3jKdps-FYtOskyMt6-Y-za8q5Mfmo1_8LVR367SeSyuX6dwccnlzk_YcK-ezwvTbQ-vzV9jxkKgZJ9ImFWo9NRNjTtzcZxDKLXmAsSv_56V2dWFqax1EOSqpKHtrlBcps2gyu06GSp4Tvon2LnT-MD_0zpUUfkn0o0i6n1wDKdTIMqZ8NdT1uRi7Yo8suZn8IePGkHuesen2Hsj1T3-i7T2J_Q4u8fqcD1WIaWEa7c5Jvi5W2hMwx695r1FSU1VWk7qpF8novxvHge2Ci8lN4ovOP8vqXq9W7dnQ5mtirTJnfuKn6c-GSZu0HlNE33fLF4SgTvs1GsqXl-0LQocKzzjl7P2blaTUZWzzbfUsnTdZQPgz2uEvchJ3y2wwtmdt; path=/; HttpOnly
Set-Cookie: OpenIdConnect.nonce.jkFbM9r03LD06UMIPKrj98gXVUhDCnpgzHoYD7MyouU%3D=; expires=Thu, 01-Jan-1970 00:00:00 GMT; path=/
Set-Cookie: .AspNet.Cookies=v9AQvWFnuEhLwmhw_umfiW_FkqeQiYG3-fSSpBNIfvXwtwaFm-3x7uT4F7fu9iA_5F77YzS22MoFCNSV0jCUhbxNmpZmp9FKIKXu0dAmglE0S2Gbgj6Hgcm4QZNUEpDRixx9imiwYclnUR4dQCKbj4abweXSpLFOkUI20yFHg5Uhje601xsGPpysWLMsqdkXw7_pL7AOYYStbbNOw-Qxjf-d9Sx2x0QSiDAi6XQBGsqovncSOITs3rH-BJ0o0sg1i1eVvsfsFSV4aVUuDftlbM65PpF4t-KdzB9ajilsaR88rm_pigF5vlHorg3tPhdD8uW3XgtWqiV7jkibHCCcnrJ-RnAsY2g9VbfSM7UddjPbAsiEfX7E9XyoAArOJsFZzNhr-UhSLc_f1984lKoommZSGV4Fy07VJmuSidJOMqGX9FXpobYKYGVR1EOoJZ50uGh0KjnvLuwBe76C0aWREXq0SJFwOVXl5oH12eK5lWRqH05rcrgTr7Z9Z2N-Df-u1V4zb3sn2rnIFXboXXV6hAEUKKhOsf8IA3XbOft9z2_7aqVqiMylQ6CI0CCW8G5L9xCM1hOb3UCyujLq67MTZ9-o3LHhK9mqSsD5swyuMbMYjyWqVcKnobmLu5SV5B-2fAOs7hOTVFgXBaq0DPfSzwXnwYMRiRf20ePlDmMEgu9eHimaw7k9CecYFm3mvjuqIfhd_O-7-UpEJDvP4CbgD34utwQImrOtkEULmLbTlHp0Ga7gSKJmlomAhNRwDiCFVQ6R5-SDujwIKcyjzeMrvlfTB7q6DHHVRqlj9Zc6rFPtNDv6ufthlUvXVEzmrPXA3jKdps-FYtOskyMt6-Y-za8q5Mfmo1_8LVR367SeSyuX6dwccnlzk_YcK-ezwvTbQ-vzV9jxkKgZJ9ImFWo9NRNjTtzcZxDKLXmAsSv_56V2dWFqax1EOSqpKHtrlBcps2gyu06GSp4Tvon2LnT-MD_0zpUUfkn0o0i6n1wDKdTIMqZ8NdT1uRi7Yo8suZn8IePGkHuesen2Hsj1T3-i7T2J_Q4u8fqcD1WIaWEa7c5Jvi5W2hMwx695r1FSU1VWk7qpF8novxvHge2Ci8lN4ovOP8vqXq9W7dnQ5mtirTJnfuKn6c-GSZu0HlNE33fLF4SgTvs1GsqXl-0LQocKzzjl7P2blaTUZWzzbfUsnTdZQPgz2uEvchJ3y2wwtmdt; path=/; HttpOnly
X-Powered-By: ASP.NET
Date: Wed, 28 Aug 2019 22:09:02 GMT
Connection: close
Content-Length: 0

[EL PROCESO SE REPITE NUEVAMENTE]

Según he leído, todo indica a que se debe por un problema de Cookies aunque no he podido identificarlo. He colocado la Notificacion -> OpenIdConnectAuthenticationNotifications de tipo AuthorizationCodeReceived para evaluar que el AuthenticationTicket se haya autenticado, y si lo ha hecho correctamente. En esta notificación he evaluado el id_token y todo parece estar en orden (Firma digital y fechas).

Aclaraciones

1. Versiones de Software. Keycloak V 6.0.1, ASP.Net MVC 5.

2. Configuración en Keycloak. La configuración para el cliente legacy-app cuenta con los flujos Estandardar e Implicito requeridos para el tipo de respuesta Code IdToken configurados en las librerías cliente. Según tengo entendido esta es la configuración mínima que debería realizarse en Keycloak. Sospecho que el problema también podría estar de este lado aunque no encuentro cuál es la configuración específica que debería tener el servidor.

3. Proyecto de Ejemplo. Las pruebas se han realizado sobre la plantilla de ASP.Net MVC 5 que ofrece por defecto Visual Studio para las Aplicaciones Web.

4. Comparando peticiones con Auth0. He comparado las peticiones y el flujo de la aplicación cliente usando el Identity provider de Auth0 y lo único que he encontrado es que los claims que tiene el id_token para Keycloak es un poco diferente (No tiene, por ejemplo, a nickname, name, y otros atributos; mientras Keycloak ofrece claims como preferred_username). Ambos flujos son bastante similares y no encuentro mucha diferencia en ellos.

1 respuesta 1

0

Luego de evaluar la clase OpenIdConnectAuthenticationOptions de OWIN para la implementación nativa, me he percatado que tiene una propiedad llamada: UseTokenLifetime. Básicamente esto permite definir el tiempo de expiración de la Cookie emitida por el callback de la aplicación cliente (Relying Party) igual al tiempo de expiración del id_token. Al colocar esta propiedad en false he logrado la autenticación y eliminado el problema de la redirección.

Así que todo se debía al tiempo de expiración del Token, por lo cual en este punto existen tres alternativas.

1. Colocar la propiedad UseTokenLifetime en false. Esto instruye a la aplicación cliente a usar un tiempo de expiración diferente para el tipo de autenticación basado en Cookies, con lo cual ya no se toma el tiempo de expiración del id_token.

2. Aumentar el tiempo de expiración del id_token. Configurar en Keycloak el tiempo de expiración del id_token para que sea mayor. Por defecto, para el flujo estándar viene en 1 minuto; para el implícito viene en 15 minutos. Al usar un tipo de respuesta code id_token se está usando un flujo híbrido, pero Keycloak está tomando el tiempo de expiración para el flujo estándar, por lo cual es necesario aumentar este valor.

3. Usar un tipo de respuesta id_token únicamente (Sin code). Como Keycloak tiene dos tipos de tiempos de expiración, como menciono en el punto anterior, donde uno está para el flujo implícito; puedes instruir a OWIN a que use un flujo implícito (No híbrido), para ello podrías colocar el tipo de respuesta a id_token Esto se hace con la propiedad: ResponseType = OpenIdConnectResponseType.IdToken

En mi caso he optado por la tercera alternativa, pues desconozco el impacto en la primera alternativa y considero innecesario aumentar el tiempo del access token para el flujo estándar como se indica en la segunda.

He dado con el problema analizando en detalle las peticiones entre Auth0 y Keycloak y también basándome en el siguiente artículo: https://www.scottbrady91.com/OpenID-Connect/Help-Im-Stuck-in-a-Redirect-Loop el cual ha sido de gran ayuda para identificar que el problema se encontraba en el manejo de cookies.

Actualización

Usar el flujo implícito inhabilita la capacidad de tener Refresh Tokens.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.