Générateur de configuration Keycloak

• Un Realm par Tenant : Pour les SaaS multi-tenants, envisagez des realms séparés ou utilisez les organisations Keycloak
• Noms significatifs : Utilisez des noms en minuscules avec traits d'union (ex : my-app-prod)
• Session Timeouts: Balance sécurité (shorter) vs UX (longer). 30min idle, 10hr max is common
• Vérification d'email : Activez pour la production pour garantir des emails utilisateur valides

• Public : Pour les SPA, applications mobiles et applications natives où le secret client ne peut pas être stocké en toute sécurité
• Confidential : Pour les applications côté serveur qui peuvent stocker en toute sécurité un secret client
• Bearer Only : Pour les API qui valident uniquement les tokens et n'initient jamais de flux de connexion

La plupart des applications web modernes utilisent un client Public avec PKCE pour le frontend et un client Confidential pour l'API backend.

Realm Roles sont globaux au realm et peuvent être attribués à n'importe quel utilisateur. Exemples courants : admin, user, moderator.

Client Roles sont limités à une application cliente spécifique. Utiles pour les permissions spécifiques à l'application comme billing:read, billing:write.

Composite Roles peuvent contenir d'autres rôles. Exemple : super-admin inclut à la fois admin et billing-admin.

Via Console Admin : Realm master > Créer Realm > Parcourir > Sélectionner fichier JSON

Via Docker:

docker run -v ./realm.json:/opt/keycloak/data/import/realm.json \
  quay.io/keycloak/keycloak start-dev \
  --import-realm

Via Kubernetes : Montez le JSON realm comme ConfigMap et utilisez le flag d'import.