Cette extension pour Keycloak ajoute un fournisseur d'identité permettant d'utiliser les services proposés par France Connect.
Pour toutes questions sur l'utilisation de cette extension, n'hésitez pas à ouvrir une discussion.
- Vérification de signature (basée sur le client-secret)
- Gestion du niveau d'authentification (eIDAS) dans la demande d'autorisation (cf communication FranceConnect)
- Thèmes de connexion permettant l'affichage des boutons France Connect (fc-theme et iron-theme)
- Meilleure gestion du logout (contourne https://issues.jboss.org/browse/KEYCLOAK-7209)
- Provider pour AgentConnect
- Gestion de FranceConnect+ (niveau EIDAS2 et EIDAS3)
ATTENTION A partir de la version 19 et de l'usage de la nouvelle interface graphique d'administration de Keycloak, il n'est plus possible de paramétrer correctement cette extension via ihm. Cela étant la version fourni permet de conserver la fonctionalité du plugin s'il a été configuré dans une version précedente, les manipulation de configuration devant se faire manuellement en sql si nécessaire. Une version est en cours de développement pour rétablir la configuration du plugin, elle nécessitera des changements disruptifs dans l'usage de ce plugin.
- La version 5.0.0 est compatible avec Keycloak
21.0.0et supérieur. - La version 4.0.0 est compatible avec Keycloak
15.0.0jusqu'à20.0.0. - La version 2.1 jusqu'à 3.0.0 est compatible avec Keycloak
9.0.2et supérieur. - La version 2.0 est compatible avec Keycloak
8.0.1jusqu'à9.0.0.
Si vous utilisez déjà une ancienne version de l'extension, il est préférable de supprimer votre configuration afin d'éviter tout conflit possible.
- 2.x/3.x -> 4.x : Supprimer votre configuration de fournisseur d'identité afin que le plugin puisse générer automatiquement les mappers lors de la sauvegarde de la configuration et qu'il n'y ait aucun conflit.
- 1.x -> 2.x : Vérifiez que votre fournisseur d'identité existe et que l'environnement France Connect sélectionné est celui désiré.
- 1.x -> 1.4 : Vous devez ajouter le niveau eIDAS dans la configuration du fournisseur d'identité.
L'installation de l'extension est simple et peut-être réalisée sans redémarrage de Keycloak.
- Téléchargez la dernière version de l'extension à partir de la page de release
- Copiez le fichier JAR dans le dossier
standalone/deploymentsde votre serveur Keycloak - Redémarrez Keycloak (optionnel, le déploiement à chaud devrait fonctionner)
Vous pouvez également cloner le repository Github et effectuer une installation locale avec la commande :
$ mvn clean install wildfly:deploy
Vous devez créer un compte France Connect afin de récupérer les informations nécessaires à la configuration de cette extension (clientId, clientSecret, configuration de l'url de redirection autorisée, ...).
Il existe 2 environnements de connexion, Integration et Production. La demande d'un compte permettant l'accès à l'environnement d'Intégration s'effectue par email au service support de France Connect.
Suite à l'installation de l'extension, le fournisseur d'identité France Connect Particulier est apparu. Une fois ce dernier selectionné, vous arrivez sur la page de configuration suivante :
Sélectionnez l'environnement désiré, entrez votre clientId, clientSecret, les scopes que vous souhaitez demander, le niveau d'authentification eIDAS.
L'alias configuré par défaut (france-connect-particulier) est utilisé par les thèmes fc-theme et iron-theme. Vous pouvez donc modifier le nom de l'alias si vous n'utilisez pas un de ces thèmes.
Vous trouverez également l'url de redirection qu'il faudra enregistrer sur le portail Partenaire de France Connect :
- endpoint :
https://<keycloak-url>/auth/realms/<realm>/broker/franceconnect-particulier/endpoint - logout :
https://<keycloak-url>/auth/realms/<realm>/broker/franceconnect-particulier/endpoint/logout_response
Une fois la configuration validée, vous pouvez ajouter des mappers afin de récupérer les attributs à partir des claims fournis par France Connect. Les principaux mappers sont ajoutés automatiquement lors de la création du fournisseur d'identité.
Exemples de mappers :
- Name :
lastName, Mapper Type :Attribute Importer, Claim :family_name, User Attribute Name :lastName - Name :
firstName, Mapper Type :Attribute Importer, Claim :given_name, User Attribute Name :firstName - Name :
email, Mapper Type :Attribute Importer, Claim :email, User Attribute Name :email
France Connect est une évolution de service pour le support des niveaux EIDAS2 et EIDAS3. Cette évolution implique un renforcement sur le niveau de confidentialité requis, ce qui se traduit par un chiffrement des jetons échangés.
Pour permettre ce chiffrement, un nouveau provider de clés à été ajouté rsa-generated-fc+ qui permettra de générer une clé RSA et publier cette clé avec le bon algorithm sur l'url jwks de keycloak.
enc pour l'usage de la clé.
Les informations à fournir à France Connect+ seront les suivantes :
| URL de redirection de connexion | https://<KEYCLOAK_SERVER>/auth/realms/<KEYCLOAK_REALM>/broker/franceconnect-particulier/endpoint |
| URL de redirection de déconnexion | https://<KEYCLOAK_SERVER>/auth/realms/<KEYCLOAK_REALM>/broker/franceconnect-particulier/endpoint?logout_response |
| Client keys url (jwks) | https://<KEYCLOAK_SERVER>/auth/realms/<KEYCLOAK_REALM>/protocol/openid-connect/certs |
| Chiffrement de l'userinfo (A256GCM / -) | A256GCM |
| Algo de chiffrement de l'userinfo (ECDH-ES / RSA-OAEP) | RSA-OAEP |
| Algo de signature de l'userinfo (ES256 obligatoire) | ES256 |
| Algo de signature de l'id_token (ES256 obligatoire) | ES256 |
| Algo de chiffrement de l'id_token (ECDH-ES / RSA-OAEP) | RSA-OAEP |
| Chiffrement de l'id_token (A256GCM / -) | A256GCM |
| Adresse de la clé de chiffrement (pour ouverture des flux) | https://<KEYCLOAK_SERVER>/auth/realms/<KEYCLOAK_REALM>/protocol/openid-connect/certs |
L'implémentation permettant de déchiffrer les jetons échangés s'appuie sur le travail de l'équipe keycloak autour de FAPI, cela implique que cette extension supporte uniquement Keycloak en verison supérieure à 15.
La version 3.0 de cette extension ajoute le support pour AgentConnect pour l'authentification des agents de la fonction publique d'Etat : https://github.com/france-connect/Documentation-AgentConnect.
De la même façon que pour France Connect il vous faudra demander la création d'un compte sur agent connect.
Il existe 2 environnements de connexion, Integration et Production. La demande d'un compte permettant l'accès à l'environnement d'Intégration s'effectue par email au service support d'Agent Connect.
Suite à l'installation de l'extension, le fournisseur d'identité Agent Connect est apparu. Une fois ce dernier selectionné, vous arrivez sur la page de configuration suivante :
Sélectionnez l'environnement désiré, entrez votre clientId, clientSecret, les scopes que vous souhaitez demander, le niveau d'authentification eIDAS.
L'alias configuré par défaut (agentconnect) est utilisé par le thèmes ac-theme. Vous pouvez donc modifier le nom de l'alias si vous n'utilisez pas un de ces thèmes.
Vous trouverez également l'url de redirection qu'il faudra enregistrer sur le portail Partenaire de France Connect :
- endpoint :
https://<keycloak-url>/auth/realms/<realm>/broker/agentconnect/endpoint - logout :
https://<keycloak-url>/auth/realms/<realm>/broker/agentconnect/endpoint/logout_response
Une fois la configuration validée, vous pouvez ajouter des mappers afin de récupérer les attributs à partir des claims fournis par France Connect. Les principaux mappers sont ajoutés automatiquement lors de la création du fournisseur d'identité.
Exemples de mappers :
- Name :
lastName, Mapper Type :Attribute Importer, Claim :family_name, User Attribute Name :lastName - Name :
firstName, Mapper Type :Attribute Importer, Claim :given_name, User Attribute Name :firstName - Name :
email, Mapper Type :Attribute Importer, Claim :email, User Attribute Name :email
Cette extension fournit 2 thèmes :
fc-themeiron-themeac-theme
Utilisez le thème de votre choix (selon le service que vous utilisez), et rendez-vous à l'adresse suivante : https://<keycloak-url>/auth/realms/<realm>/account
