Migration von Keycloak, ohne den Identitätsserver weiter selbst zu betreiben
Die Skycloak Platform ist für die Migration von Keycloak gebaut: Sie übernimmt die Benutzer eines Realms mit ihren Passwörtern, ihrer MFA und ihren Passkeys und stellt Keycloak-kompatible Adressen und Token-Formate bereit, damit Ihre Anwendungen weiter funktionieren. Am Tag des Wechsels muss niemand sein Passwort zurücksetzen, und ein Mandant lässt sich zurück in eine Keycloak-Realm-Datei exportieren, sodass der Umzug umkehrbar ist.
Warum Teams einen selbst betriebenen Keycloak-Server aufgeben
Keycloak ist ein leistungsfähiger Open-Source-Identitätsserver, und viele Teams beginnen damit, weil er Anmeldung, Single Sign-On und Benutzerverwaltung an einem Ort abdeckt. Ihn in Produktion zu betreiben ist eine andere Aufgabe, denn jemand muss Sicherheitspatches einspielen, Major-Upgrades planen, die Server dimensionieren und die Datenbank pflegen, von der er abhängt. Diese Arbeit hört nie auf, und sie landet meist bei Entwicklern, die eigentlich für das Produkt eingestellt wurden. Wenn der Identitätsserver für ein oder zwei Personen zur Teilzeitaufgabe wird, lohnt sich der Wechsel zu einem Dienst.
Die Skycloak Platform ist die eigene mandantenfähige Anmelde-Engine von Skycloak und wird von Skycloak als Dienst betrieben, sodass Upgrades, Datenbank und Patches nicht mehr Aufgabe Ihres Teams sind. Ein Keycloak-Realm entspricht einem Mandanten mit eigenen Benutzern, Einstellungen und einer eigenen Anmeldeadresse. Mandanten laufen in den USA oder in der Europäischen Union, und die Region wird bei der Anlage des Mandanten festgelegt, sodass Sie wählen, wo die Daten Ihrer Benutzer liegen. Die Konsole, mit der Mandanten konfiguriert werden, enthält keine Endbenutzerdaten, und die Anmeldung wartet nie auf sie, deshalb funktioniert die Anmeldung auch dann, wenn die Konsole ausfällt.
Was der Import übernimmt und wie Ihre Anwendungen weiter funktionieren
Die Plattform ist dafür gebaut, die Benutzer eines Realms mit ihren Passwort-Hashes, ihren Einstellungen zur Multi-Faktor-Authentifizierung (MFA) und ihren Passkeys zu importieren. Ein Passwort-Hash ist die unumkehrbar umgerechnete Form eines Passworts, die ein Identitätsserver statt des Passworts selbst speichert, und durch seinen Import melden sich Benutzer weiter mit dem Passwort an, das sie kennen. Da MFA und Passkeys ebenfalls übernommen werden, müssen Benutzer keinen zweiten Faktor neu einrichten, und am Tag des Wechsels muss niemand sein Passwort zurücksetzen. Passkeys sind an die Domain gebunden, für die sie erstellt wurden, legen Sie also früh fest, welche Anmeldedomain Ihre Benutzer nach dem Umzug sehen.
Ihre Anwendungen sprechen mit Keycloak über Adressen wie die Autorisierungs- und Token-Endpunkte und lesen Tokens mit einem bestimmten Satz von Claims. Claims sind die Felder in einem Token, etwa die Benutzer-ID oder die Rollen. Die Plattform stellt Keycloak-kompatible Adressen und Token-Formate bereit, sodass eine Anwendung, die mit Ihrem Realm funktioniert hat, weiter funktionieren kann, sobald Sie sie auf den Mandanten richten, ohne dass ihre Token-Prüfungen neu geschrieben werden. Sie testen trotzdem jede Anwendung vor dem Wechsel, aber die Arbeit besteht überwiegend aus Konfiguration und kaum aus Code.
Wie Sie die Umstellung planen und den Umzug umkehrbar halten
Die Umstellung (Cutover) ist der Moment, in dem Ihre Anwendungen den alten Server nicht mehr nutzen und auf den neuen wechseln. Ein sorgfältiger Plan importiert die Benutzer zuerst in einen Staging-Mandanten, richtet eine Testkopie jeder Anwendung darauf und prüft Anmeldung, MFA, Passkeys und Token-Prüfungen von Anfang bis Ende. Wenn das funktioniert, importieren Sie die Produktion, stellen die Konfiguration jeder Anwendung um und halten den alten Server noch eine Weile bereit, falls Sie zurückwechseln müssen. Benutzer, die zwischen Import und Umstellung ihr Passwort ändern, brauchen die meiste Aufmerksamkeit, halten Sie dieses Zeitfenster also kurz oder wiederholen Sie den Import kurz vor der Umstellung.
Die Plattform ist dafür gebaut, einen Mandanten zurück in eine Keycloak-Realm-Datei zu exportieren, also in das Format, mit dem Keycloak selbst Realms importiert und exportiert. Damit ist der Umzug umkehrbar: Wenn die Plattform nicht passt, können Sie Ihren Mandanten auf einen Keycloak-Server zurückbringen, den Sie selbst betreiben. Import, kompatible Adressen und Export stehen alle im Plan der Plattform, und in einer Demo sehen Sie, was davon Sie heute nutzen können.
Häufige Fragen
Müssen meine Benutzer ihre Passwörter zurücksetzen?
Nein. Die Plattform ist dafür gebaut, die Benutzer eines Realms mit ihren Passwörtern, ihrer MFA und ihren Passkeys zu importieren, sodass sie sich weiter mit ihren bisherigen Zugangsdaten anmelden.
Muss ich den Code meiner Anwendungen ändern?
In den meisten Fällen ändern Sie die Konfiguration und nicht den Code. Die Plattform stellt Keycloak-kompatible Adressen und Token-Formate bereit, sodass eine Anwendung vor allem auf den Mandanten gerichtet werden muss. Testen Sie jede Anwendung mit einem Staging-Mandanten, bevor Sie umstellen.
Sehen Sie sich die Skycloak Platform selbst an
Buchen Sie eine Demo, und wir zeigen Ihnen die Plattform mit Blick auf Ihre eigenen Anmeldeabläufe.