Migrer depuis Keycloak et cesser d'exploiter votre propre serveur d'identité
Skycloak Platform est conçu pour vous permettre de migrer depuis Keycloak en important les utilisateurs d'un realm avec leurs mots de passe, leur MFA et leurs passkeys, et en servant des adresses et des formats de jetons compatibles avec Keycloak pour que vos applications continuent de fonctionner. Personne ne réinitialise son mot de passe le jour du changement, et un tenant peut être exporté vers un fichier de realm Keycloak, si bien que la migration est réversible.
Pourquoi des équipes quittent le serveur Keycloak qu'elles exploitent elles-mêmes
Keycloak est un serveur d'identité open source solide, et beaucoup d'équipes commencent avec lui parce qu'il couvre la connexion, l'authentification unique et la gestion des utilisateurs au même endroit. L'exploiter en production est un autre travail, car quelqu'un doit appliquer les correctifs de sécurité, préparer les montées de version majeures, dimensionner les serveurs et entretenir la base de données dont il dépend. Ce travail ne s'arrête jamais, et il retombe en général sur des ingénieurs recrutés pour construire le produit. Lorsque le serveur d'identité devient un mi-temps pour une ou deux personnes, passer à un service devient raisonnable.
Skycloak Platform est le moteur de connexion multi-tenant de Skycloak, exploité par Skycloak sous forme de service, si bien que les mises à jour, la base de données et les correctifs ne sont plus le travail de votre équipe. Un realm Keycloak correspond à un tenant, qui a ses propres utilisateurs, ses réglages et son adresse de connexion. Les tenants tournent aux États-Unis ou dans l'Union européenne, et la région est fixée à la création du tenant, ce qui vous laisse choisir où vivent les données de vos utilisateurs. La console qui configure les tenants ne contient aucune donnée d'utilisateur final et la connexion ne l'attend jamais, si bien que la connexion continue de fonctionner même si la console est indisponible.
Ce que l'import reprend et comment vos applications continuent de fonctionner
La plateforme est conçue pour importer les utilisateurs d'un realm avec leurs empreintes de mot de passe, leurs réglages d'authentification multifacteur (MFA) et leurs passkeys. Une empreinte de mot de passe (hash) est la forme brouillée qu'un serveur d'identité conserve à la place du mot de passe lui-même, et l'importer permet aux utilisateurs de continuer à se connecter avec le mot de passe qu'ils connaissent. Comme la MFA et les passkeys sont reprises aussi, les utilisateurs n'ont pas à réenregistrer un second facteur, et personne n'a à réinitialiser son mot de passe le jour du changement. Une passkey est liée au domaine pour lequel elle a été créée : décidez donc tôt quel domaine de connexion vos utilisateurs verront après la migration.
Vos applications parlent à Keycloak par des adresses comme ses points de terminaison d'autorisation et de jeton, et elles lisent des jetons dotés d'un ensemble précis de claims. Les claims sont les champs d'un jeton, comme l'identifiant de l'utilisateur ou ses rôles. La plateforme sert des adresses et des formats de jetons compatibles avec Keycloak, de sorte qu'une application qui fonctionnait avec votre realm peut continuer à fonctionner une fois pointée vers le tenant, sans réécrire ses vérifications de jetons. Vous testez quand même chaque application avant le changement, mais le travail relève surtout de la configuration plutôt que du code.
Comment planifier la bascule et garder la migration réversible
La bascule est le moment où vos applications cessent d'utiliser l'ancien serveur et commencent à utiliser le nouveau. Un plan prudent importe d'abord les utilisateurs dans un tenant de préproduction, y pointe une copie de test de chaque application et vérifie de bout en bout la connexion, la MFA, les passkeys et les vérifications de jetons. Une fois que cela fonctionne, vous importez la production, changez la configuration de chaque application et gardez l'ancien serveur disponible quelque temps au cas où vous auriez besoin de revenir en arrière. Les utilisateurs qui changent de mot de passe entre l'import et la bascule demandent le plus d'attention : gardez cette fenêtre courte, ou relancez l'import juste avant de basculer.
La plateforme est conçue pour exporter un tenant vers un fichier de realm Keycloak, le format que Keycloak utilise pour importer et exporter un realm. La migration est donc réversible : si la plateforme ne vous convient pas, vous pouvez ramener votre tenant sur un serveur Keycloak que vous exploitez vous-même. L'import, les adresses compatibles et l'export figurent tous au plan de la plateforme, et une démo est le bon moment pour voir lesquels vous pouvez utiliser aujourd'hui.
Questions fréquentes
Mes utilisateurs devront-ils réinitialiser leur mot de passe ?
Non. La plateforme est conçue pour importer les utilisateurs d'un realm avec leurs mots de passe, leur MFA et leurs passkeys, si bien qu'ils continuent de se connecter avec les identifiants qu'ils ont déjà.
Dois-je modifier le code de mes applications ?
Dans la plupart des cas, vous changez la configuration plutôt que le code. La plateforme sert des adresses et des formats de jetons compatibles avec Keycloak, donc une application a surtout besoin d'être pointée vers le tenant. Testez chaque application avec un tenant de préproduction avant de basculer.
Découvrez Skycloak Platform par vous-même
Réservez une démo : nous vous présentons la plateforme en partant de vos propres parcours de connexion.