IAM: Keycloak para Grafana MIMIR, LOKI y más

Descripción de Keycloak

1. Single Sign-On (SSO): Centraliza la autenticación para que los usuarios inicien sesión una sola vez y obtengan acceso a múltiples aplicaciones.
2. Federación de usuarios: Se integra con repositorios de identidades externos (LDAP, Active Directory, etc.) para gestionar y autenticar a los usuarios desde una sola plataforma.
3. Autenticación sólida: Implementa autenticación multifactor (MFA) con soporte para diversos factores (por ejemplo, contraseñas de un solo uso, WebAuthn).
4. Autorización detallada: Define y hace cumplir políticas específicas para usuarios, roles y recursos dentro de tus aplicaciones.
5. Control de acceso basado en roles (RBAC): Asigna permisos detallados a roles, simplificando la gestión de grandes cantidades de usuarios.
6. Inicio de sesión social: Permite a los usuarios iniciar sesión a través de plataformas sociales (por ejemplo, Google, GitHub, Facebook) sin requerir una integración por separado.
7. Servicios de token integrados: Genera y gestiona automáticamente tokens de acceso, identidad y renovación, alineados con los estándares de seguridad modernos.

Usando Keycloak para nuestra arquitectura

1. Interceptación de peticiones en NGINX Proxy Manager
   • Todas las solicitudes que llegan desde el navegador del usuario (o desde otros sistemas) pasan primero por NGINX Proxy Manager.
   • En caso de que sea necesario autenticar la petición, NGINX redirige a Keycloak para que el usuario inicie sesión.
   • Esto permite no tener que configurar la autenticación en cada una de las aplicaciones; dejándolas sin control de acceso internamente y exponiéndose de forma protegida externamente.
2. Autenticación en Keycloak
   • Keycloak valida las credenciales de los usuarios.
   • Una vez autenticado con éxito, Keycloak emite tokens que prueban la identidad del usuario, manejando aspectos como su expiración y renovación.
   • Estos tokens permiten que el usuario no tenga que iniciar sesión repetidamente en cada servicio.
3. Provisión de tokens y retorno al proxy
   • El usuario regresa al flujo de NGINX, esta vez con los tokens de acceso que Keycloak le ha proporcionado.
   • NGINX revisa la validez de los tokens antes de redirigir a los servicios internos, como Grafana o sus componentes asociados (Grafana MIMIR, Grafana LOKI, etc.).
4. Control de acceso a servicios
   • Es tarea de cada aplicación revisar la información contenida en los tokens para determinar el nivel de acceso del usuario.
   • Por ejemplo, Grafana puede mapear los roles definidos en Keycloak a roles específicos dentro de su plataforma (admin, editor, viewer, etc.).
   • De este modo, las credenciales y los permisos de un usuario se gestionan de forma centralizada en Keycloak, simplificando la administración.
5. Integración con componentes de observabilidad (MIMIR y LOKI)
   • Single Sign-On (SSO): Gracias a SSO, el usuario solo inicia sesión una vez para acceder a todos los servicios de observabilidad.
   • Gestión de usuarios y roles desde un único punto: facilita añadir nuevos usuarios, gestionar contraseñas y asignar permisos de forma escalable.
   • Seguridad reforzada: Keycloak provee MFA (autenticación multifactor) y soporta protocolos como OpenID Connect y OAuth 2.0, que permiten un mayor nivel de protección.
   • Auditoría y trazabilidad de accesos: se puede consultar en Keycloak quién inició sesión y cuándo, así como qué recursos se han utilizado.

Stack de docker

name: iam_i40sys

x-logging:
  &default-logging
  driver: "json-file"
  options:
    max-size: "10m"
    max-file: "1"

services:
  keycloak:
    image: quay.io/keycloak/keycloak:latest
    restart: unless-stopped
    # ports:
    #   - "8443:8443"
    volumes:
      - "./certs/:/etc/x509/https"
    environment:
      KEYCLOAK_ADMIN: ${KEYCLOAK_USER}
      KEYCLOAK_ADMIN_PASSWORD: ${KEYCLOAK_PASSWORD}
      KC_HOSTNAME: ${KEYCLOAK_URL}
      KC_DB_URL: jdbc:postgresql://postgres:5432/keycloak
      KC_DB: postgres
      KC_DB_USERNAME:  ${POSTGRES_USER}
      KC_DB_PASSWORD: ${POSTGRES_PASSWORD}
      KC_HTTPS_CERTIFICATE_FILE: /etc/x509/https/iam.i40sys.com.crt
      KC_HTTPS_CERTIFICATE_KEY_FILE: /etc/x509/https/iam.i40sys.com.key
      #KC_LOG_LEVEL: ALL
    depends_on:
      - postgres
    command:
      - start
      - --verbose
      - --log-level=INFO
    networks:
      keycloak:
      proxy:
    logging: *default-logging

  postgres:
    image: postgres:latest
    restart: unless-stopped
    environment:
      POSTGRES_DB: keycloak
      POSTGRES_USER: ${POSTGRES_USER}
      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}
      POSTGRES_PORT: 5432
    volumes:
      - ./data:/var/lib/postgresql/data
    networks:
      keycloak:
    logging: *default-logging

networks:
  keycloak:
  proxy:
    name: services
    external: true

KEYCLOAK_USER=admin
KEYCLOAK_PASSWORD=aldmin123
KEYCLOAK_URL=iam.i40sys.com
POSTGRES_USER=postgres
POSTGRES_PASSWORD=postgrespassword

Reference

• ↗keycloak-compose
• ↗keycloak-production-docker-compose
• Keycloak SSO with docker compose and nginx - du.nkel.dev
• ↗easy-rsa
• ↗README.quickstart.md
• Easy RSA