Keycloak: безопасная аутентификация и доступ к API

Настройте единый вход, роли и доступ к API на готовых приложениях. Проверьте свою интеграцию и исправления с преподавателем.

Professional

Онлайн

Для кого этот курс?

Backend-разработчикам. Подключите приложение к Keycloak, настройте вход пользователей и проверьте, какие запросы принимает API.
DevSecOps-инженерам. Настройте среду интеграции и защитные параметры. Проверьте вход, роли и доступ между сервисами.
AppSec-специалистам с навыками программирования. Воспроизведите ошибочный доступ на учебном приложении, найдите причину в настройках или коде и проверьте исправление.

Что нужно знать до начала обучения

Один язык серверной разработки, HTTP, JSON и базовый Docker.
Нужно уметь читать код и быть готовым немного менять подготовленные скрипты Node.js: проверки JWT, роли и назначения токена.
Опыт Keycloak и пентеста не требуется. React и бизнес-API с нуля писать не придется.

Что вы освоите на курсе Keycloak

Keycloak помогает организовать общий вход в приложения компании. Сотрудник использует одну учетную запись, а приложения получают сведения о нем и его ролях. Команда настраивает, какие данные и действия ему доступны.

Например, сотрудник создает заявку, а утверждает ее руководитель. Если права настроены неверно, обычный пользователь сможет выполнить действие руководителя даже при работающем входе. На курсе вы отработаете интеграцию и проверки доступа на учебных приложениях.

Пройдете сценарий входа по OAuth 2.0 и OpenID Connect (OIDC) на уровне HTTP. Разберетесь, что проверяют клиент, Keycloak и API.
Проверите подпись, издателя, назначение и срок действия JWT. Научитесь отличать access token от ID token.
Развернете учебный Keycloak и настроите ролевой доступ RBAC: подходящая роль выполняет действие, неподходящая получает отказ.
Подключите подготовленные веб-приложение и API. Настроите межсервисный вызов по Client Credentials, сохранив секрет на сервере.
Проверите единый вход SSO, завершение сессии и вход с дополнительным одноразовым кодом MFA.
Воспроизведете учебные ошибки доступа в мини-CTF, разберете причины и проверите исправления.

Результат можно показать. В итоговой демонстрации вы подключите готовое приложение к Keycloak и проверите разрешенные действия и корректные отказы. Объясните, где проверяются токены и роли и почему запрос проходит или отклоняется.

Как проходит обучение

На живых онлайн-занятиях разбираете устройство входа и доступа, затем работаете с подготовленными приложениями. Между встречами настраиваете свой экземпляр Keycloak, роли и интеграцию по образцу.

Каждая из пяти домашних работ получает индивидуальный письменный разбор. После замечаний работу можно доработать. Вопросы на вебинаре преподаватель разбирает в процессе занятия.

Итоговая работа входит в эти пять заданий. На демонстрации показываете работающую интеграцию и объясняете проверки доступа.

Подготовленные приложения

Веб-приложение, API и сервис уведомлений уже написаны. Вы сосредоточитесь на входе, ролях и проверках, а не на разработке бизнес-функций.

Ошибки доступа на стенде

Проверите, как внешне работающая интеграция допускает лишний доступ. В мини-CTF воспроизведете учебные ошибки и разберете их причины.

Проверка каждой домашней работы

Получите индивидуальные письменные замечания и сможете доработать решение. На итоговой демонстрации покажете результат проверок.

Партнеры

Разместите резюме в базе OTUS: так наши партнёры смогут пригласить вас на интервью
Участвуйте в карьерных мероприятиях: там мы разбираемся, как составить резюме

* Информация в этом разделе не предназначена для корпоративного обучения

Формат обучения

9 живых занятий

Пять учебных недель, встречи по 90 минут. Всего 13,5 часа онлайн. К занятиям добавляется самостоятельная практика.

5 домашних работ

Индивидуальная письменная проверка и возможность доработки после замечаний. Итоговая работа включена в эти пять заданий.

Практика в своем окружении

Запускаете подготовленные стенды на Linux, macOS или Windows с WSL2. Нужны Docker и Compose. При необходимости используете собственную виртуальную машину.

Проектная работа

Вход и доступ к API на Keycloak

На подготовленном коде настройте свой экземпляр Keycloak, вход в браузерное приложение, роли на Task API и вызов сервиса уведомлений по Client Credentials. Покажите конфигурацию запуска и выполненные проверки.

В итоговой демонстрации:

Пользователь успешно входит в приложение.
Подходящая роль выполняет разрешенное действие, неподходящая получает отказ.
API отклоняет access token, предназначенный для другого API, и не принимает ID token вместо access token.
Клиентский секрет отсутствует в коде и настройках браузерного приложения.
Сервисы взаимодействуют с отдельным сервисным доступом.

Объясните, где проверяются токены и права, как нашли причину ошибочного доступа и чем подтвердили исправление. Письменная обратная связь и доработка входят в формат обучения.

Преподаватель

Александр Першин

2 года в Otus

117 занятий

742 студента

Специалист по внутреннему тестированию инфраструктуры "Internal pentester", системный программист, реверс инженер. Трехкратный призер Pentest Award 2024/2025/2026.

Преподает на курсах

Rust-разработчик. Продвинутый уровень
Пентест. Инструменты и методы проникновения в действии
Обратная разработка
Программист С
IDS/IPS. Инфраструктурные компоненты защиты
Системное программирование

Эксперты-практики делятся опытом, разбирают кейсы студентов и дают развернутый фидбэк на домашние задания

Этот курс может оплатить ваш работодатель

Обучайтесь за счёт работодателя или разделите оплату 50/50

Подробно расскажем об интересующем вас курсе
Объясним, как договориться с работодателем
Сообщим стоимость обучения и варианты оплаты
Ответим на вопросы
Предоставим шаблон договора и счёт на оплату

Подробнее о корпоративном обучении

Подтверждение знаний и навыков

OTUS осуществляет лицензированную образовательную деятельность.

Вы получите сертификат о прохождении обучения, а также можете получить удостоверение о повышении квалификации.

После обучения:

Удостоверение о повышении квалификации: если вы успешно защитили выпускной проект и готовы предоставить копию документа о высшем или среднем профессиональном образовании
Доступ к учебным материалам курса
Ваш личный проект, который поможет проходить собеседования

Частые вопросы

Что такое Keycloak и зачем его изучать?

Keycloak помогает организовать единый вход в приложения компании и работать с учетными записями, ролями и механизмами доступа. На курсе вы подключите подготовленные приложения и проверите, что пользователи и сервисы получают только предусмотренные возможности.

Можно ли учиться без опыта Keycloak?

Да. Нужны один язык серверной разработки, понимание HTTP и JSON, базовая работа с Docker. Keycloak изучаете в процессе. Курс подойдет backend-разработчикам и подготовленным AppSec/DevSecOps-инженерам, которые умеют работать с кодом.

Нужно ли писать React и API с нуля?

Приложения подготовлены. Вы пишете учебные скрипты ручного входа и проверки токенов, настраиваете Docker Compose и роли, собираете свою интеграцию по образцу. Понадобится читать и немного менять код Node.js, например проверки JWT, роли и назначения токена. Бизнес-приложение с нуля не разрабатываете.

Что я покажу на итоговой работе?

Работающий вход, разрешенное действие для подходящей роли и отказ для неподходящей. API должен отклонять токен, выданный для другого API, и ID token вместо access token. Также показываете межсервисный вызов и отсутствие клиентского секрета в браузерном приложении. Итоговая работа входит в пять домашних заданий.

Как проверяют домашние задания?

Каждая домашняя работа получает индивидуальную письменную обратную связь. После замечаний можно доработать решение. Вопросы на онлайн-занятии преподаватель разбирает в процессе. В конце курса показываете итоговую работу и объясняете свои проверки.

Какой компьютер нужен для практики?

Нужны Linux, macOS или Windows с WSL2, Docker и Compose. Ориентир автора для личного окружения: 4 CPU, 8 ГБ RAM и около 20 ГБ свободного диска. Фактическая потребность зависит от операционной системы и других запущенных программ. Восемь гигабайт всей памяти компьютера не гарантируют комфортный запуск всех компонентов.

Предоставляется ли облачный стенд?

Вы получаете подготовленный код и материалы двух учебных стендов и запускаете их в своем окружении. Готовая персональная облачная VM в предложение не включена. Если локальный запуск невозможен, потребуется собственная виртуальная машина с Docker; ее условия и расходы зависят от выбранного вами размещения.

Нужны ли платные лицензии и сервисы?

Для основных упражнений используются Keycloak, PostgreSQL и другие компоненты с открытым исходным кодом. Практику можно выполнять локально. Внешнюю VM при необходимости выбираете самостоятельно. При работе с Docker Desktop на компьютере организации проверьте применимые условия его лицензии.

Это полный курс по корпоративному IAM?

Практикум сосредоточен на интеграции приложений с Keycloak и проверке аутентификации и авторизации. Внешние поставщики учетных записей и LDAP/AD рассматриваются обзорно. Полный жизненный цикл доступов, IGA/PAM, отказоустойчивый кластер и промышленная эксплуатация не входят в итоговый результат.

Какие протоколы и механизмы доступа входят в программу?

OAuth 2.0 и OpenID Connect (OIDC), JWT и JWKS, вход Authorization Code с PKCE, межсервисный доступ Client Credentials, роли RBAC, единый вход SSO и многофакторная аутентификация MFA. Вы применяете их на подготовленных приложениях и проверяете разрешенные и запрещенные сценарии. Step-up остается дополнительным заданием.