Keycloak Konfigurations-Generator

• Ein Realm pro Tenant: Für Multi-Tenant-SaaS erwägen Sie separate Realms oder verwenden Sie Keycloak-Organisationen
• Aussagekräftige Namen: Verwenden Sie Kleinbuchstaben und Bindestrich-Namen (z. B. my-app-prod)
• Session Timeouts: Balance sicherheit (shorter) vs UX (longer). 30min idle, 10hr max is common
• E-Mail-Verifizierung: Für die Produktion aktivieren, um gültige Benutzer-E-Mails sicherzustellen

• Public: Für SPAs, mobile Apps und native Apps, bei denen das Client-Secret nicht sicher gespeichert werden kann
• Confidential: Für serverseitige Anwendungen, die ein Client-Secret sicher speichern können
• Bearer Only: Für APIs, die nur Tokens validieren und niemals Login-Flows initiieren

Die meisten modernen Webanwendungen verwenden einen Public-Client mit PKCE für das Frontend und einen Confidential-Client für die Backend-API.

Realm Roles sind global für das Realm und können jedem Benutzer zugewiesen werden. Häufige Beispiele: admin, user, moderator.

Client Roles sind auf eine bestimmte Client-Anwendung beschränkt. Nützlich für anwendungsspezifische Berechtigungen wie billing:read, billing:write.

Composite Roles können andere Rollen enthalten. Beispiel: super-admin umfasst sowohl admin als auch billing-admin.

Über Admin Console: Master Realm > Realm Erstellen > Durchsuchen > JSON-Datei Auswählen

Via Docker:

docker run -v ./realm.json:/opt/keycloak/data/import/realm.json \
  quay.io/keycloak/keycloak start-dev \
  --import-realm

Über Kubernetes: Mounten Sie das Realm-JSON als ConfigMap und verwenden Sie das Import-Flag.