Keycloack : sécuriser et intégrer l’authentification dans vos applications
Maîtrisez la gestion des identités et des accès pour sécuriser vos applications web, mobiles et backend avec Keycloak !
Vue d'ensemble
- Bonne connaissance du développement web (Java, Python, JavaScript ou autre)
- Familiarité avec les architectures applicatives modernes (API REST, microservices)
- Notions de base sur l'authentification et les protocoles HTTP
Objectifs pédagogiques
Programme détaillé
Introduction à Keycloak et concepts fondamentaux
– Gestion des identités et des accès (IAM) : enjeux de sécurité et cas d’usage en entreprise
– Architecture Keycloak : realms, clients, utilisateurs, rôles, groupes et scopes
– Console d’administration : navigation et configuration de base
– Installation et déploiement : options de mise en place selon l’environnement
– Installation locale de Keycloak et création d’un premier realm
– Configuration d’un client et test du cycle login/logout
Protocoles d'authentification : OAuth 2.0 et OpenID Connect
– OAuth 2.0 : acteurs, rôles et flux d’autorisation
– OpenID Connect : couche d’identité au-dessus d’OAuth 2.0
– Jetons JWT : structure, claims, signatures et validation
– Flows d’authentification : Authorization Code (avec PKCE), Client Credentials, Device Code
– Discovery endpoint et configuration automatique des clients
– Analyse et décodage de jetons JWT (access_token, id_token, refresh_token)
– Mise en œuvre du flow Authorization Code avec PKCE
Intégration dans les applications
– Stratégies d’intégration : adaptateurs, librairies clientes et reverse proxy
– Applications web : sécurisation frontend et backend
– Applications mobiles et natives : spécificités du Device Code Flow
– Services backend et machine-to-machine : Client Credentials Flow
– Intégration avec les frameworks courants : Spring Boot, Quarkus, Node.js, Python (selon contexte)
– Reverse proxy : délégation de l’authentification à Nginx ou Traefik
– Sécurisation d’une API REST avec validation de token
– Intégration de Keycloak dans une application web ou backend
Stratégies d'autorisation
– Modèles d’autorisation : RBAC (Role-Based Access Control) et GBAC (Group-Based Access Control)
– Scopes OAuth2 : définition et utilisation pour limiter les accès
– Authorization Service de Keycloak : politiques et permissions centralisées
– Audiences et claims personnalisés : contrôle fin des accès aux ressources
– Mise en place d’un contrôle d’accès basé sur les rôles
– Configuration de l’Authorization Service avec des politiques d’accès
Identity Brokering et fédération d'identités
– Concept de courtier d’identité : déléguer l’authentification à des fournisseurs externes
– Fédération OpenID Connect : intégration avec d’autres instances Keycloak ou fournisseurs OIDC
– Fédération SAML : connexion à des IdP d’entreprise (Azure AD, ADFS)
– Synchronisation d’annuaires : intégration LDAP et Active Directory
– Mappers et transformation des attributs utilisateurs
– Configuration d’un Identity Provider externe (OIDC ou SAML)
– Synchronisation d’utilisateurs depuis un annuaire LDAP
Administration et exploitation
– Gestion des utilisateurs et groupes : création, import et cycle de vie
– Politiques de sécurité : complexité des mots de passe, verrouillage de compte
– Sessions et jetons : durée de vie, révocation et monitoring
– Authentification multi-facteur (MFA) : OTP, WebAuthn et flux conditionnels
– Personnalisation des flux d’authentification : conditions, actions et étapes personnalisées
– Audit et logs : traçabilité des événements utilisateurs et administrateurs
– Configuration de politiques de mot de passe et activation du MFA (OTP)
– Création d’un flux d’authentification personnalisé
Prochaines sessions
24 nov. 2026
Distance - Français
Avis des participants
Financement
Cette formation est éligible aux financements OPCO et FNE-Formation. Nos équipes vous accompagnent dans le montage de votre dossier.
En savoir plus sur le financement