Durante estos días he estado trabajando en la integración del Identity Provider Keycloak como mecanismo de Single Sign-On para aplicaciones en diferentes tecnologías, entre ellas una aplicación legada que se encuentra en ASP.Net MVC versión 5.
Para lograrlo he optado por dos alternativas, sin tener éxito en ambas:
1. Usar Keycloak OWIN Security Client.
Buscando un client adapter para Keycloak he dado con esta librería: https://github.com/mattmorg55/Owin.Security.Keycloak la cual es un fork de otro proyecto de github ya desatendido, en ella se explica la integración de la aplicación ASP.Net MVC, demostrando un tutorial para el caso. Siguiendo los pasos del tutorial he colocado el siguiente código en la clase Startup.cs en la raíz del proyecto:
// Enable Kentor Cookie Saver middleware. Fix OWIN Cookies Bug
app.UseKentorOwinCookieSaver();
app.UseCookieAuthentication(new CookieAuthenticationOptions
{
AuthenticationType = "KeycloakOwinAuthenticationSample_cookie_auth"
});
app.SetDefaultSignInAsAuthenticationType("KeycloakOwinAuthenticationSample_cookie_auth");
app.UseKeycloakAuthentication(new KeycloakAuthenticationOptions
{
ClientId = "legacy-app",
CallbackPath = "sso/callback",
ClientSecret = "xx-yy-cc",
VirtualDirectory = "",
Realm = "master",
UseRemoteTokenValidation = true,
DisableAudienceValidation = true,
DisableIssuerValidation = true,
DisableAllRefreshTokenValidation = true,
KeycloakUrl = "http://localhost:8180/auth",
SignInAsAuthenticationType = "KeycloakOwinAuthenticationSample_cookie_auth"
});
Luego de ello coloco la etiqueta [Authorize] en algún Action cualquiera, en este caso en HomeController->About. Según el tutorial, estos son los únicos pasos requeridos por lo cual ya debería estar completa la integración. Sin embargo, al autenticar el usuario e intentar acceder al Action obtengo una redirección infinita entre el Identity Provider y mi aplicación cliente.
Básicamente sucede el siguiente flujo después de la autenticación.
El usuario accede al recurso o Action protegido, lo cual causa una redirección a Keycloak.
Keycloak determina que el usuario ya está autenticado, por lo cual redirecciona al callback configurado en cliente.
El callback del cliente coloca algunas cookies de sesión (Tengo entendido que se hace para persistir información del usuario) y redirecciona al recurso protegido.
Al acceder al recurso protegido se determina que el usuario no está autenticado y se repite el paso 1.
2. Usar OWIN OpenId Connect librería nativa.
Debido que el proyecto anterior no cuenta con mucha actividad decidí usar el OWIN OpenId Connect que ofrece Microsoft en su implementación Katana. Quizás esto podría solucionar el problema de la redirección. Para ello me he basado en un tutorial para OpenId Connect ofrecido por Auth0 y simplemente he modificado algunos atributos para comunicarse con Keycloak (Teniendo en cuenta que no existe una dependencia directa a Auth0). Esta es la Url del tutorial de Auth0: https://auth0.com/docs/quickstart/webapp/aspnet-owin/01-login. Siguiendo las instrucciones modifiqué el archivo Startup.cs para colocar el siguiente código
// Enable Kentor Cookie Saver middleware. Fix OWIN Cookies Bug
app.UseKentorOwinCookieSaver();
// Set Cookies as default authentication type
app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);
app.UseCookieAuthentication(new CookieAuthenticationOptions
{
AuthenticationType = CookieAuthenticationDefaults.AuthenticationType,
LoginPath = new PathString("/Account/Login")
});
// Configure Auth0 authentication
app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
AuthenticationType = "Kc",
RequireHttpsMetadata = false,
Authority = "http://192.168.99.100:8180/auth/realms/master",
ClientId = "legacy-app",
ClientSecret = "xx-yy-zz",
RedirectUri = "/sso/callback",
ResponseType = OpenIdConnectResponseType.CodeIdToken,
Scope = "openid profile",
TokenValidationParameters = new TokenValidationParameters
{
NameClaimType = "name"
}
});
Nuevamente me intento autenticar a un recurso protegido con la etiqueta [Authorize] y sucede el mismo comportamiento de las redirecciones.
Este es el seguimiento de las peticiones cuando se usa la segunda alternativa (Las tramas para la primera alternativa son bastante similares, sólo varían algunas propiedades enviadas en la URL a Keycloak).
-->
GET /MvcApplication/Home/About HTTP/1.1
Host: localhost
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.132 Safari/537.36
Referer: http://localhost/MvcApplication/
Accept-Encoding: gzip, deflate
Accept-Language: es-ES,es;q=0.9
Cookie: ASP.NET_SessionId=lm0gqsncegs5gtek5tpear2j; .AspNet.Cookies=chSkdYjwrliAfiraozU-lqxPeAHsMWg_X678A6a_2YsRFCB8bNimXz7SJqfCYA0jOZ9Q1BWgvX1VYVogp-X7zMkzaSmCgicvFLG4c7yBikDKE7IXe4qNJJL0_TZ7qrq7E6H9KlVV9vtjymfAaURGiKsOi5jbQQjAGNYE6M3bGwVP7UFiC9fY00Y3MRx7-4cG_K9JhVfeWiT9w7uxgwSTOgg_gY_wtJSnQh1lsRZAACQwC069eEa6oVYzh_zv1ppnRxDuOH1x91WVmhTO6Zab3RfJYfmTbrHb44i7TU2SOevX6SebsdA7DPmBUG6OZZQI_LAwZK9QGaGwod-nOcciE0wRVdgYC8_ubT5BedXJSiDMHC5c6pOY_tynzt38jW0Ftj91r3HszRke-atYwwSfAAGR1DF5u_kjDVgEKpPbIeBUdqA3Jfj0l_63Kxtiq5BOVVmgcVf9x5vQiNEh3pAKeFqF1k3QslBREmx3azQfmEAZRzjxtshSh5UESR1DyeR4AJobUt4ZN9rPR4RH_qtY_c9gxFHTcUvw1TR1GNApz5_vui7B8HuMZBJtrWFafiSNMv64p624iM5r2O0RCAmP-vs_CXYz73cP-z0Mqir8PDvTaWDWei5kJIMCsDYQYggMrEf4dnLq9aPTfDhtDnCR9-02phTFeAz2ku5NQHcW7MoKVuHZtyVejYWz3UyaSzE85WeT7ut77PifpSH2JeRIxCJpKe0rtnlnEPOTVcOOPovWIzMB2IRXciIBbwFguOqlbtytXjfK5WWGGrX4aAaMQRkHQoTLyYxucNQQupNzkT3XiEah6mFIG5MqbcEDzNYC34c0UTqQ2UNTopNo7ZYaURhNUap81wm4nuVy6JUvmnGZXthzaiO83A5IxgO_9BFFXJrj--89kExAo7EAbur0wJrQYRWAH7bZQDOfqxiIhtDKl31ZCG4Rm4VAJwb_VY42jWgThsIa5O4_ptnGOYW0rZmmNWsz14D3QewMnsKpltIUSscZj8m7FuhmG3QB1T7ZssrcVaQQZpbGwr8CIzY2-eUrdq-CavQ-ltZLosUMiHMNRked6nKLjklJVp09PgMj47nurhqPvrLYc1P8A_0OE5W8cac5SGceMFkxbjqZPFAoYVb1uEj-vSNy2eMqUGNXc024WULDPUa6cga_X66IJqYDuwVoPpa3O5OKokXdSI4
<--
HTTP/1.1 302 Found
Cache-Control: private
Location: http://192.168.99.100:8180/auth/realms/master/protocol/openid-connect/auth?client_id=legacy-app&redirect_uri=http%3A%2F%2Flocalhost%2FMvcApplication%2Fcallback&response_mode=form_post&response_type=code%20id_token&scope=openid%20profile&state=OpenIdConnect.AuthenticationProperties%3DXsEYCcN2tqz_dCB62qhJfJYGRsGFedyRuxb65DvfcEC7O5st3YC3dzEG8nq3SN0wXwBbDn38RjVwJZsROFp0cXtWfjtXzqHgCcOKDdKWJqi8-cp7TE3hUWipgX-LBp6VJBYKwm6ZdZ3FV-e6jvvHWTRzb-xNO8G-RFukqT0JsaPI7fm7-GRrHFMxjMp_t0nw1JoTAOa_VQgxXBx9mj_fyQ&nonce=637026269399520153.MjQzMzkyMDktYjliNy00YzFjLTlkZDUtZDU1OTkxZjk1MzJlYTQzZTRhMTctZDM4Yy00NjI4LWFhMTUtMDkxNjMxOTE4M2Q2&x-client-SKU=ID_NET451&x-client-ver=5.2.2.0
Server: Microsoft-IIS/10.0
X-AspNetMvc-Version: 5.2
X-AspNet-Version: 4.0.30319
Set-Cookie: OpenIdConnect.nonce.jkFbM9r03LD06UMIPKrj98gXVUhDCnpgzHoYD7MyouU%3D=V3VtOHRoV0VMLTg3YU1kSnc4LW8tbThqb08xUVVnZkNiWElwS3ZGQkFVeVg0aXBYMzR3d3JzRUE3VThpSmdRSE4ta3VnTndPaFRTMkdoOXVjWGZSSjhlZ2duZ2Fpa01qckdTd0pJNXN0Z3hKeVJnMlpGZWFWVHJmbkxXUlFMcW5uVmtwM1RjdkZQR0RmSDJPZ2ZpTDkyU1RjWjdCQ2FNZllSV0g0ZDZzbUJ3aFNhUWRQUUotc1BSY2xHTXBxTmpDdjhlWDhvQVd3LVM4cnJlV09ueTV0TjZZMWdHeUlPdmpPWG5ZR2tsWElhVQ%3D%3D; path=/; expires=Wed, 28-Aug-2019 22:23:59 GMT; HttpOnly
Set-Cookie: OpenIdConnect.nonce.jkFbM9r03LD06UMIPKrj98gXVUhDCnpgzHoYD7MyouU%3D=V3VtOHRoV0VMLTg3YU1kSnc4LW8tbThqb08xUVVnZkNiWElwS3ZGQkFVeVg0aXBYMzR3d3JzRUE3VThpSmdRSE4ta3VnTndPaFRTMkdoOXVjWGZSSjhlZ2duZ2Fpa01qckdTd0pJNXN0Z3hKeVJnMlpGZWFWVHJmbkxXUlFMcW5uVmtwM1RjdkZQR0RmSDJPZ2ZpTDkyU1RjWjdCQ2FNZllSV0g0ZDZzbUJ3aFNhUWRQUUotc1BSY2xHTXBxTmpDdjhlWDhvQVd3LVM4cnJlV09ueTV0TjZZMWdHeUlPdmpPWG5ZR2tsWElhVQ%3D%3D; expires=Wed, 28-Aug-2019 22:23:59 GMT; path=/; HttpOnly
X-Powered-By: ASP.NET
Date: Wed, 28 Aug 2019 22:08:59 GMT
Connection: close
Content-Length: 0
-->
GET /auth/realms/master/protocol/openid-connect/auth?client_id=legacy-app&redirect_uri=http%3A%2F%2Flocalhost%2FMvcApplication%2Fcallback&response_mode=form_post&response_type=code%20id_token&scope=openid%20profile&state=OpenIdConnect.AuthenticationProperties%3DXsEYCcN2tqz_dCB62qhJfJYGRsGFedyRuxb65DvfcEC7O5st3YC3dzEG8nq3SN0wXwBbDn38RjVwJZsROFp0cXtWfjtXzqHgCcOKDdKWJqi8-cp7TE3hUWipgX-LBp6VJBYKwm6ZdZ3FV-e6jvvHWTRzb-xNO8G-RFukqT0JsaPI7fm7-GRrHFMxjMp_t0nw1JoTAOa_VQgxXBx9mj_fyQ&nonce=637026269399520153.MjQzMzkyMDktYjliNy00YzFjLTlkZDUtZDU1OTkxZjk1MzJlYTQzZTRhMTctZDM4Yy00NjI4LWFhMTUtMDkxNjMxOTE4M2Q2&x-client-SKU=ID_NET451&x-client-ver=5.2.2.0 HTTP/1.1
Host: 192.168.99.100:8180
Upgrade-Insecure-Requests: 1
Referer: http://localhost/MvcApplication/
Accept-Encoding: gzip, deflate
Accept-Language: es-ES,es;q=0.9
Cookie: AUTH_SESSION_ID=026ab196-5941-4965-a2a7-d0b752c98266.50a060c13e2c; KEYCLOAK_IDENTITY=eyJhbGciOiJIUzI1NiIsInR5cCIgOiAiSldUIiwia2lkIiA6ICJkNjJkODY4OC1lMWU3LTQzMDctYmNlNy02ZWZmMDM3NjAzNDkifQ.eyJqdGkiOiI3OTEzODAyNy1iZDM0LTRjYzYtYmU0Yy0wNWM4ZjQ3YWY0NDciLCJleHAiOjE1NjcwNjYwNDMsIm5iZiI6MCwiaWF0IjoxNTY3MDMwMDQzLCJpc3MiOiJodHRwOi8vMTkyLjE2OC45OS4xMDA6ODE4MC9hdXRoL3JlYWxtcy9tYXN0ZXIiLCJzdWIiOiIzYTc1ZmZkMC0wYjBmLTQyNTUtYjRlNS0zNTE1ZDU1NzljMWQiLCJ0eXAiOiJTZXJpYWxpemVkLUlEIiwiYXV0aF90aW1lIjowLCJzZXNzaW9uX3N0YXRlIjoiMDI2YWIxOTYtNTk0MS00OTY1LWEyYTctZDBiNzUyYzk4MjY2Iiwic3RhdGVfY2hlY2tlciI6InZFdmdYci1XbUNTbUNxa29aUENoS01kUmpJeHVfaFQ0ZTRkbEhVbjlfazQifQ.PEM6Q1MDeY84MAka3pFf36_OVgLpMZtGgwmQuarG8T8; KEYCLOAK_SESSION=master/3a75ffd0-0b0f-4255-b4e5-3515d5579c1d/026ab196-5941-4965-a2a7-d0b752c98266
Connection: close
<--
HTTP/1.1 200 OK
Connection: close
Cache-Control: no-store, must-revalidate, max-age=0
Set-Cookie: KC_RESTART=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6ImQ2MmQ4Njg4LWUxZTctNDMwNy1iY2U3LTZlZmYwMzc2MDM0OSJ9.eyJjaWQiOiJsZWdhY3ktcHJpbWV1c2VycyIsInB0eSI6Im9wZW5pZC1jb25uZWN0IiwicnVyaSI6Imh0dHA6Ly9sb2NhbGhvc3QvTXZjQXBwbGljYXRpb24vY2FsbGJhY2siLCJhY3QiOiJBVVRIRU5USUNBVEUiLCJub3RlcyI6eyJjbGllbnRfcmVxdWVzdF9wYXJhbV94LWNsaWVudC12ZXIiOiI1LjIuMi4wIiwic2NvcGUiOiJvcGVuaWQgcHJvZmlsZSIsImlzcyI6Imh0dHA6Ly8xOTIuMTY4Ljk5LjEwMDo4MTgwL2F1dGgvcmVhbG1zL21hc3RlciIsInJlc3BvbnNlX3R5cGUiOiJjb2RlIGlkX3Rva2VuIiwiY2xpZW50X3JlcXVlc3RfcGFyYW1feC1jbGllbnQtU0tVIjoiSURfTkVUNDUxIiwiY29kZV9jaGFsbGVuZ2VfbWV0aG9kIjoicGxhaW4iLCJyZWRpcmVjdF91cmkiOiJodHRwOi8vZGVzYXJyb2xsby0xNC9NdmNBcHBsaWNhdGlvbi9jYWxsYmFjayIsInN0YXRlIjoiT3BlbklkQ29ubmVjdC5BdXRoZW50aWNhdGlvblByb3BlcnRpZXM9WHNFWUNjTjJ0cXpfZENCNjJxaEpmSllHUnNHRmVkeVJ1eGI2NUR2ZmNFQzdPNXN0M1lDM2R6RUc4bnEzU04wd1h3QmJEbjM4UmpWd0pac1JPRnAwY1h0V2ZqdFh6cUhnQ2NPS0RkS1dKcWk4LWNwN1RFM2hVV2lwZ1gtTEJwNlZKQllLd202WmRaM0ZWLWU2anZ2SFdUUnpiLXhOTzhHLVJGdWtxVDBKc2FQSTdmbTctR1JySEZNeGpNcF90MG53MUpvVEFPYV9WUWd4WEJ4OW1qX2Z5USIsIm5vbmNlIjoiNjM3MDI2MjY5Mzk5NTIwMTUzLk1qUXpNemt5TURrdFlqbGlOeTAwWXpGakxUbGtaRFV0WkRVMU9Ua3haamsxTXpKbFlUUXpaVFJoTVRjdFpETTRZeTAwTmpJNExXRmhNVFV0TURreE5qTXhPVEU0TTJRMiIsInJlc3BvbnNlX21vZGUiOiJmb3JtX3Bvc3QifX0.VZgiMrqraq33tli-9dBzWBDI0PdCwc8IBI30BJwV5b0; Version=1; Path=/auth/realms/master/; HttpOnly
Set-Cookie: KC_RESTART=; Version=1; Expires=Thu, 01-Jan-1970 00:00:10 GMT; Max-Age=0; Path=/auth/realms/master/; HttpOnly
Set-Cookie: KEYCLOAK_IDENTITY=eyJhbGciOiJIUzI1NiIsInR5cCIgOiAiSldUIiwia2lkIiA6ICJkNjJkODY4OC1lMWU3LTQzMDctYmNlNy02ZWZmMDM3NjAzNDkifQ.eyJqdGkiOiJhODk4Y2FjNi1lYTU4LTRiMGItOWM3OS1hMDNiZjdmNzlmMjkiLCJleHAiOjE1NjcwNjYwNTYsIm5iZiI6MCwiaWF0IjoxNTY3MDMwMDU2LCJpc3MiOiJodHRwOi8vMTkyLjE2OC45OS4xMDA6ODE4MC9hdXRoL3JlYWxtcy9tYXN0ZXIiLCJzdWIiOiIzYTc1ZmZkMC0wYjBmLTQyNTUtYjRlNS0zNTE1ZDU1NzljMWQiLCJ0eXAiOiJTZXJpYWxpemVkLUlEIiwiYXV0aF90aW1lIjowLCJzZXNzaW9uX3N0YXRlIjoiMDI2YWIxOTYtNTk0MS00OTY1LWEyYTctZDBiNzUyYzk4MjY2Iiwic3RhdGVfY2hlY2tlciI6InZFdmdYci1XbUNTbUNxa29aUENoS01kUmpJeHVfaFQ0ZTRkbEhVbjlfazQifQ.ZyRSyPaGbxPdTYtzdXKfrloB5uPH8Ao9iWECaIgtuwk; Version=1; Path=/auth/realms/master/; HttpOnly
Set-Cookie: KEYCLOAK_SESSION=master/3a75ffd0-0b0f-4255-b4e5-3515d5579c1d/026ab196-5941-4965-a2a7-d0b752c98266; Version=1; Expires=Thu, 29-Aug-2019 08:07:36 GMT; Max-Age=36000; Path=/auth/realms/master/
Set-Cookie: KEYCLOAK_REMEMBER_ME=; Version=1; Comment=Expiring cookie; Expires=Thu, 01-Jan-1970 00:00:10 GMT; Max-Age=0; Path=/auth/realms/master/; HttpOnly
P3P: CP="This is not a P3P policy!"
Content-Type: text/html;charset=UTF-8
Content-Length: 2380
Date: Wed, 28 Aug 2019 22:07:36 GMT
-->
POST /MvcApplication/callback HTTP/1.1
Host: localhost
Content-Length: 1799
Cache-Control: max-age=0
Origin: http://192.168.99.100:8180
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Referer: http://192.168.99.100:8180/auth/realms/master/protocol/openid-connect/auth?client_id=legacy-app&redirect_uri=http%3A%2F%2Flocalhost%2FMvcApplication%2Fcallback&response_mode=form_post&response_type=code%20id_token&scope=openid%20profile&state=OpenIdConnect.AuthenticationProperties%3DXsEYCcN2tqz_dCB62qhJfJYGRsGFedyRuxb65DvfcEC7O5st3YC3dzEG8nq3SN0wXwBbDn38RjVwJZsROFp0cXtWfjtXzqHgCcOKDdKWJqi8-cp7TE3hUWipgX-LBp6VJBYKwm6ZdZ3FV-e6jvvHWTRzb-xNO8G-RFukqT0JsaPI7fm7-GRrHFMxjMp_t0nw1JoTAOa_VQgxXBx9mj_fyQ&nonce=637026269399520153.MjQzMzkyMDktYjliNy00YzFjLTlkZDUtZDU1OTkxZjk1MzJlYTQzZTRhMTctZDM4Yy00NjI4LWFhMTUtMDkxNjMxOTE4M2Q2&x-client-SKU=ID_NET451&x-client-ver=5.2.2.0
Accept-Encoding: gzip, deflate
Accept-Language: es-ES,es;q=0.9
Cookie: ASP.NET_SessionId=lm0gqsncegs5gtek5tpear2j; .AspNet.Cookies=chSkdYjwrliAfiraozU-lqxPeAHsMWg_X678A6a_2YsRFCB8bNimXz7SJqfCYA0jOZ9Q1BWgvX1VYVogp-X7zMkzaSmCgicvFLG4c7yBikDKE7IXe4qNJJL0_TZ7qrq7E6H9KlVV9vtjymfAaURGiKsOi5jbQQjAGNYE6M3bGwVP7UFiC9fY00Y3MRx7-4cG_K9JhVfeWiT9w7uxgwSTOgg_gY_wtJSnQh1lsRZAACQwC069eEa6oVYzh_zv1ppnRxDuOH1x91WVmhTO6Zab3RfJYfmTbrHb44i7TU2SOevX6SebsdA7DPmBUG6OZZQI_LAwZK9QGaGwod-nOcciE0wRVdgYC8_ubT5BedXJSiDMHC5c6pOY_tynzt38jW0Ftj91r3HszRke-atYwwSfAAGR1DF5u_kjDVgEKpPbIeBUdqA3Jfj0l_63Kxtiq5BOVVmgcVf9x5vQiNEh3pAKeFqF1k3QslBREmx3azQfmEAZRzjxtshSh5UESR1DyeR4AJobUt4ZN9rPR4RH_qtY_c9gxFHTcUvw1TR1GNApz5_vui7B8HuMZBJtrWFafiSNMv64p624iM5r2O0RCAmP-vs_CXYz73cP-z0Mqir8PDvTaWDWei5kJIMCsDYQYggMrEf4dnLq9aPTfDhtDnCR9-02phTFeAz2ku5NQHcW7MoKVuHZtyVejYWz3UyaSzE85WeT7ut77PifpSH2JeRIxCJpKe0rtnlnEPOTVcOOPovWIzMB2IRXciIBbwFguOqlbtytXjfK5WWGGrX4aAaMQRkHQoTLyYxucNQQupNzkT3XiEah6mFIG5MqbcEDzNYC34c0UTqQ2UNTopNo7ZYaURhNUap81wm4nuVy6JUvmnGZXthzaiO83A5IxgO_9BFFXJrj--89kExAo7EAbur0wJrQYRWAH7bZQDOfqxiIhtDKl31ZCG4Rm4VAJwb_VY42jWgThsIa5O4_ptnGOYW0rZmmNWsz14D3QewMnsKpltIUSscZj8m7FuhmG3QB1T7ZssrcVaQQZpbGwr8CIzY2-eUrdq-CavQ-ltZLosUMiHMNRked6nKLjklJVp09PgMj47nurhqPvrLYc1P8A_0OE5W8cac5SGceMFkxbjqZPFAoYVb1uEj-vSNy2eMqUGNXc024WULDPUa6cga_X66IJqYDuwVoPpa3O5OKokXdSI4; OpenIdConnect.nonce.jkFbM9r03LD06UMIPKrj98gXVUhDCnpgzHoYD7MyouU%3D=V3VtOHRoV0VMLTg3YU1kSnc4LW8tbThqb08xUVVnZkNiWElwS3ZGQkFVeVg0aXBYMzR3d3JzRUE3VThpSmdRSE4ta3VnTndPaFRTMkdoOXVjWGZSSjhlZ2duZ2Fpa01qckdTd0pJNXN0Z3hKeVJnMlpGZWFWVHJmbkxXUlFMcW5uVmtwM1RjdkZQR0RmSDJPZ2ZpTDkyU1RjWjdCQ2FNZllSV0g0ZDZzbUJ3aFNhUWRQUUotc1BSY2xHTXBxTmpDdjhlWDhvQVd3LVM4cnJlV09ueTV0TjZZMWdHeUlPdmpPWG5ZR2tsWElhVQ%3D%3D
Connection: close
code=d1ab4d95-ed2c-4a23-976d-81012f2d119c.026ab196-5941-4965-a2a7-d0b752c98266.e13d7130-cceb-440d-9a00-ad674c9ca4c8&id_token=<id_token>&state=OpenIdConnect.AuthenticationProperties%3DXsEYCcN2tqz_dCB62qhJfJYGRsGFedyRuxb65DvfcEC7O5st3YC3dzEG8nq3SN0wXwBbDn38RjVwJZsROFp0cXtWfjtXzqHgCcOKDdKWJqi8-cp7TE3hUWipgX-LBp6VJBYKwm6ZdZ3FV-e6jvvHWTRzb-xNO8G-RFukqT0JsaPI7fm7-GRrHFMxjMp_t0nw1JoTAOa_VQgxXBx9mj_fyQ&session_state=026ab196-5941-4965-a2a7-d0b752c98266
<--
HTTP/1.1 302 Found
Cache-Control: private
Pragma: no-cache
Expires: -1
Location: /MvcApplication/Home/About
Server: Microsoft-IIS/10.0
Set-Cookie: OpenIdConnect.nonce.jkFbM9r03LD06UMIPKrj98gXVUhDCnpgzHoYD7MyouU%3D=; path=/; expires=Thu, 01-Jan-1970 00:00:00 GMT
Set-Cookie: .AspNet.Cookies=v9AQvWFnuEhLwmhw_umfiW_FkqeQiYG3-fSSpBNIfvXwtwaFm-3x7uT4F7fu9iA_5F77YzS22MoFCNSV0jCUhbxNmpZmp9FKIKXu0dAmglE0S2Gbgj6Hgcm4QZNUEpDRixx9imiwYclnUR4dQCKbj4abweXSpLFOkUI20yFHg5Uhje601xsGPpysWLMsqdkXw7_pL7AOYYStbbNOw-Qxjf-d9Sx2x0QSiDAi6XQBGsqovncSOITs3rH-BJ0o0sg1i1eVvsfsFSV4aVUuDftlbM65PpF4t-KdzB9ajilsaR88rm_pigF5vlHorg3tPhdD8uW3XgtWqiV7jkibHCCcnrJ-RnAsY2g9VbfSM7UddjPbAsiEfX7E9XyoAArOJsFZzNhr-UhSLc_f1984lKoommZSGV4Fy07VJmuSidJOMqGX9FXpobYKYGVR1EOoJZ50uGh0KjnvLuwBe76C0aWREXq0SJFwOVXl5oH12eK5lWRqH05rcrgTr7Z9Z2N-Df-u1V4zb3sn2rnIFXboXXV6hAEUKKhOsf8IA3XbOft9z2_7aqVqiMylQ6CI0CCW8G5L9xCM1hOb3UCyujLq67MTZ9-o3LHhK9mqSsD5swyuMbMYjyWqVcKnobmLu5SV5B-2fAOs7hOTVFgXBaq0DPfSzwXnwYMRiRf20ePlDmMEgu9eHimaw7k9CecYFm3mvjuqIfhd_O-7-UpEJDvP4CbgD34utwQImrOtkEULmLbTlHp0Ga7gSKJmlomAhNRwDiCFVQ6R5-SDujwIKcyjzeMrvlfTB7q6DHHVRqlj9Zc6rFPtNDv6ufthlUvXVEzmrPXA3jKdps-FYtOskyMt6-Y-za8q5Mfmo1_8LVR367SeSyuX6dwccnlzk_YcK-ezwvTbQ-vzV9jxkKgZJ9ImFWo9NRNjTtzcZxDKLXmAsSv_56V2dWFqax1EOSqpKHtrlBcps2gyu06GSp4Tvon2LnT-MD_0zpUUfkn0o0i6n1wDKdTIMqZ8NdT1uRi7Yo8suZn8IePGkHuesen2Hsj1T3-i7T2J_Q4u8fqcD1WIaWEa7c5Jvi5W2hMwx695r1FSU1VWk7qpF8novxvHge2Ci8lN4ovOP8vqXq9W7dnQ5mtirTJnfuKn6c-GSZu0HlNE33fLF4SgTvs1GsqXl-0LQocKzzjl7P2blaTUZWzzbfUsnTdZQPgz2uEvchJ3y2wwtmdt; path=/; HttpOnly
Set-Cookie: OpenIdConnect.nonce.jkFbM9r03LD06UMIPKrj98gXVUhDCnpgzHoYD7MyouU%3D=; expires=Thu, 01-Jan-1970 00:00:00 GMT; path=/
Set-Cookie: .AspNet.Cookies=v9AQvWFnuEhLwmhw_umfiW_FkqeQiYG3-fSSpBNIfvXwtwaFm-3x7uT4F7fu9iA_5F77YzS22MoFCNSV0jCUhbxNmpZmp9FKIKXu0dAmglE0S2Gbgj6Hgcm4QZNUEpDRixx9imiwYclnUR4dQCKbj4abweXSpLFOkUI20yFHg5Uhje601xsGPpysWLMsqdkXw7_pL7AOYYStbbNOw-Qxjf-d9Sx2x0QSiDAi6XQBGsqovncSOITs3rH-BJ0o0sg1i1eVvsfsFSV4aVUuDftlbM65PpF4t-KdzB9ajilsaR88rm_pigF5vlHorg3tPhdD8uW3XgtWqiV7jkibHCCcnrJ-RnAsY2g9VbfSM7UddjPbAsiEfX7E9XyoAArOJsFZzNhr-UhSLc_f1984lKoommZSGV4Fy07VJmuSidJOMqGX9FXpobYKYGVR1EOoJZ50uGh0KjnvLuwBe76C0aWREXq0SJFwOVXl5oH12eK5lWRqH05rcrgTr7Z9Z2N-Df-u1V4zb3sn2rnIFXboXXV6hAEUKKhOsf8IA3XbOft9z2_7aqVqiMylQ6CI0CCW8G5L9xCM1hOb3UCyujLq67MTZ9-o3LHhK9mqSsD5swyuMbMYjyWqVcKnobmLu5SV5B-2fAOs7hOTVFgXBaq0DPfSzwXnwYMRiRf20ePlDmMEgu9eHimaw7k9CecYFm3mvjuqIfhd_O-7-UpEJDvP4CbgD34utwQImrOtkEULmLbTlHp0Ga7gSKJmlomAhNRwDiCFVQ6R5-SDujwIKcyjzeMrvlfTB7q6DHHVRqlj9Zc6rFPtNDv6ufthlUvXVEzmrPXA3jKdps-FYtOskyMt6-Y-za8q5Mfmo1_8LVR367SeSyuX6dwccnlzk_YcK-ezwvTbQ-vzV9jxkKgZJ9ImFWo9NRNjTtzcZxDKLXmAsSv_56V2dWFqax1EOSqpKHtrlBcps2gyu06GSp4Tvon2LnT-MD_0zpUUfkn0o0i6n1wDKdTIMqZ8NdT1uRi7Yo8suZn8IePGkHuesen2Hsj1T3-i7T2J_Q4u8fqcD1WIaWEa7c5Jvi5W2hMwx695r1FSU1VWk7qpF8novxvHge2Ci8lN4ovOP8vqXq9W7dnQ5mtirTJnfuKn6c-GSZu0HlNE33fLF4SgTvs1GsqXl-0LQocKzzjl7P2blaTUZWzzbfUsnTdZQPgz2uEvchJ3y2wwtmdt; path=/; HttpOnly
X-Powered-By: ASP.NET
Date: Wed, 28 Aug 2019 22:09:02 GMT
Connection: close
Content-Length: 0
[EL PROCESO SE REPITE NUEVAMENTE]
Según he leído, todo indica a que se debe por un problema de Cookies aunque no he podido identificarlo. He colocado la Notificacion -> OpenIdConnectAuthenticationNotifications de tipo AuthorizationCodeReceived para evaluar que el AuthenticationTicket se haya autenticado, y si lo ha hecho correctamente. En esta notificación he evaluado el id_token y todo parece estar en orden (Firma digital y fechas).
Aclaraciones
1. Versiones de Software. Keycloak V 6.0.1, ASP.Net MVC 5.
2. Configuración en Keycloak. La configuración para el cliente legacy-app cuenta con los flujos Estandardar e Implicito requeridos para el tipo de respuesta Code IdToken configurados en las librerías cliente. Según tengo entendido esta es la configuración mínima que debería realizarse en Keycloak. Sospecho que el problema también podría estar de este lado aunque no encuentro cuál es la configuración específica que debería tener el servidor.
3. Proyecto de Ejemplo. Las pruebas se han realizado sobre la plantilla de ASP.Net MVC 5 que ofrece por defecto Visual Studio para las Aplicaciones Web.
4. Comparando peticiones con Auth0. He comparado las peticiones y el flujo de la aplicación cliente usando el Identity provider de Auth0 y lo único que he encontrado es que los claims que tiene el id_token para Keycloak es un poco diferente (No tiene, por ejemplo, a nickname, name, y otros atributos; mientras Keycloak ofrece claims como preferred_username). Ambos flujos son bastante similares y no encuentro mucha diferencia en ellos.