SecSignID Plugin: Keycloak

Voraussetzungen

1. Eine voll funktionsfähige Keycloak Installation.
2. Die Extension als .jar-Datei (Download hier)

Installation

1. Beenden Sie den Keycloak-Server
2. Kopieren Sie die .jar-Datei („secsign-authenticator.jar“) in den Unterordner „providers“ des Keycloak-Ordners
3. Bauen Sie die Installation neu auf mit „kc.sh build“
   Dies löscht keine vorhandenen Einstellungen. Es integriert lediglich neu gefundene Extensions ins System
4. Anschließen starten Sie den Server (z.B. mit „kc.sh start“ oder „kc.sh start-dev“)
5. Loggen Sie sich als Admin in der Keycloak Admin Console ein.
6. Wählen Sie das Realm, welches durch 2FA gesichert werden soll
7. Öffnen Sie die „Authentication“ Einstellungen
8. Wenn Sie bereits einen eigenen Flow erstellt haben, wählen Sie diesen. Ansonsten kopieren Sie einen existierenden Flow oder erstellen Sie einen neuen.
9. In der Ausführungsreihenfolge muss vor dem SecSign ID Authenticator ein Schritt vorkommen, welcher den User identifiziert (z.B Username Password Form). In einem neuen Flow können Sie diesen hinzufügen, indem Sie „Add execution“ wählen
10. Anschließend fügen Sie ebenfalls durch „Add execution“ den „SecSign ID“ Authenticator hinzu.
11. Wenn Sie diesen hinzugefügt haben, ändern Sie das eingestellte „Requirement“ auf „Required“, da ansonsten die 2FA umgangen werden kann und für Benutzer ohne gespeicherte SecSign ID automatisch übersprungen wird.



12. Wenn Sie einen on-premise SecSign ID Server besitzen, wählen Sie auf der rechten Seite unter „Actions“ die Option „Config“ und befolgen Sie die Hilfestellungen unter Konfiguration.
13. Um den erstellten Flow nun zu nutzen wählen Sie den Tab „Bindings“ und wählen Sie den neuen Flow als „Browser Flow“ (Für Login im Browser) aus.
14. Im Tab „Required Actions“ aktivieren Sie die Checkbox „Enabled“ neben „SecSign ID“, damit User ohne eine SecSign ID, eine erstellen können.

Es gibt verschiedene Konfigurationsmöglichkeiten:

1. Im erstellten Flow können Sie rechts unter „Actions“ die Option „Config“ wählen, um so ihren on-premise SecSign ID-Server einzurichten. Hierfür benötigen Sie 3 Einstellungen:



• SecSign ID Server URL: Die URL ihres on-premise SecSign ID Server. (z.B: https://idserver.yourcompany.com)
• Pin Account User: Der PinAccount, um auf Ihren Server zuzugreifen. Dieser benötigt die Rechte, um Secsign IDs auf dem Server zu erstellen
• Pin Account Password: Das Passwort des PinAccount, um auf Ihren Server zuzugreifen.
2. Außerdem können Sie die SecSign IDs von einzelnen Usern ändern oder manuell hinzufügen. Dazu navigieren Sie in der Admin-Konsole zu „Users“ und wählen den User, den
   Sie anpassen wollen. Im Tab „Attributes“ können Sie nun, wenn vorhanden, das Attribut „secsignid“ anpassen oder neu hinzufügen.

• Der Nutzer identifiziert sich im ersten Schritt, z.B. über eine Username Password Form.
• Anschließend wird geprüft, ob der Benutzer bereits eine SecSign ID hat.
• Wenn er eine SecSign ID gespeichert hat, so wird die Authentifzierung automatisch damit gestartet.
• Wenn er keine SecSign ID hat, so wird nun eine für ihn erstellt und der entsprechende QR-Code für diese SecSign ID auf dem Bildschirm angezeigt.
  Diese muss der User nun mit der App auf dem Smartphone scannen. Wenn dies durchgeführt wurde, beginnt automatisch die Authentifizierung mit dieser SecSign ID.
• Beim nächsten Login kann der User dann direkt die Secsign ID zum Authentifizieren nutzen.