Keycloak-Logout ohne User-Bestätigung: Eine Anleitung

tiny-tool.de

In modernen Anwendungen ist die Abmeldung ein zentraler Bestandteil der Benutzerverwaltung. Im Kontext von OpenID Connect (OIDC) ist es jedoch Standard, dass Benutzer ihre Abmeldung explizit bestätigen müssen, wenn sie von einer Anwendung ausgeloggt werden. Dieser Ansatz dient der Sicherheit, da so sichergestellt wird, dass die Abmeldung durch den Benutzer und nicht durch ein unbefugtes Skript erfolgt.

Trotzdem gibt es zahlreiche Szenarien, in denen ein automatischer Logout ohne Benutzerinteraktion sinnvoll ist:

Automatisierte Abmeldung nach einem Timeout oder durch Administratoren.
Single Logout (SLO), bei dem Benutzer von mehreren Anwendungen gleichzeitig abgemeldet werden.
Optimierung von Benutzererfahrungen, indem unnötige Klicks eliminiert werden.

In diesem Artikel zeige ich, wie ein Keycloak-Logout ohne User-Bestätigung umgesetzt werden kann und warum der Parameter id_token_hint dabei eine zentrale Rolle spielt.

Warum ist der Logout-Standard auf Benutzerbestätigung ausgelegt?

OpenID Connect (OIDC) ist ein Authentifizierungsprotokoll, das stark auf Sicherheit ausgelegt ist. Der Logout-Standard fordert, dass Benutzer ihre Abmeldung bestätigen müssen, um:

Missbrauch zu verhindern: Ein böswilliger Akteur könnte sonst den Benutzer ohne dessen Wissen ausloggen.
Sicherheit zu erhöhen: Explizite Abmeldungen minimieren Risiken, die durch automatisierte Skripte entstehen.

Dieser Ansatz ist sinnvoll, birgt jedoch Herausforderungen für Szenarien, in denen ein vollautomatischer Logout ohne Benutzerbestätigung erforderlich ist.

Der Schlüssel: `id_token_hint`

Der Parameter id_token_hint ist eine wichtige Komponente des OIDC-Logouts. Er enthält den ID-Token des Benutzers, der beim Login von Keycloak oder einem anderen OIDC-Provider ausgegeben wurde.

Was ist der ID-Token?

Ein ID-Token ist ein JSON Web Token (JWT), das Informationen über den Benutzer enthält, wie z. B.:

sub: Die eindeutige Benutzer-ID.
iss: Der Aussteller des Tokens (z. B. die Keycloak-Instanz).
exp: Das Ablaufdatum des Tokens.

Warum ist der `id_token_hint` wichtig?

Beim Logout ohne Benutzerbestätigung wird der id_token_hint verwendet, um:

Die Benutzer-Session zu identifizieren: Der Token hilft Keycloak, die richtige Session des Benutzers zu invalidieren.
Sicherheitsanforderungen zu erfüllen: Der id_token_hint beweist, dass die Abmeldeanforderung von einer vertrauenswürdigen Quelle stammt.

Keycloak-Logout ohne Benutzerbestätigung

Ein Logout ohne Bestätigung erfordert, dass alle relevanten Informationen an Keycloak übergeben werden. Neben dem id_token_hint sind folgende Parameter entscheidend:

sid: Die Session-ID, um die Benutzer-Session eindeutig zuzuordnen.
client_id: Die ID der Anwendung, die den Logout initiiert.
post_logout_redirect_uri: Die Ziel-URL, zu der der Benutzer nach dem Logout weitergeleitet wird.

Werbung/Advertising

<

Fujitsu Esprimo Q556 Intel Core i3 128GB SSD 4GB Windows 10 Home DVD Brenner

Preis: 199,00 EUR