Aller au contenu principal
  • Cours pratique
  • Informatique

Formation Gestion centralisée de la sécurité avec KeyCloak

Maîtriser l’intégration, la sécurisation et l’administration des applications avec Keycloak.

Demander un devis
Une formatrice accompagne deux participants penchés sur leurs notes, en salle de formation
Durée
4 jours
Niveau
Fondamental
Modalités
Présentiel / Distanciel

Description de la formation KeyCloak Securite

Qu’est-ce que Keycloak ?

Keycloak est une solution open source de gestion des identités et des accès (IAM). Il implémente en standard les protocoles (OpenID Connect, OAuth 2.0, et SAML). Les cas d’usage couvrent notamment Single-Sign On et délégation d'authentification (IdP), la sécurisation de tout type d’application (Web, API Rest, Mobile, ...), la fédération des utilisateurs, centralisation de la gestion des crédentiels et des rôles ainsi que la gestion centralisée des autorisations aux services de l’entreprise.

Pourquoi suivre une formation Intégrer et administrer Keycloak ?

Après avoir effectué un rappel sur les protocoles standard implémentés dans Keycloak, cette formation KeyCloak Sécurité vous guide dans la mise en œuvre de Keycloak pour sécuriser vos applications. Elle combine théorie et pratique autour des concepts d’authentification, d’autorisation et d’intégration technique (Spring Boot, Quarkus, reverse proxy). Vous apprendrez à configurer, étendre et administrer un serveur Keycloak en environnement de production.

Atelier en salle : une participante présente des notes au tableau

Objectifs pédagogiques

À l'issue de cette formation KeyCloak Sécurité vous aurez acquis les connaissances et les compétences nécessaires pour :

  • Comprendre les principes et les standards OAuth2.0 et OpenID Connect.
  • Configurer et sécuriser une première application avec Keycloak.
  • Intégrer Keycloak dans différents types d’applications (web, mobile, backend).
  • Mettre en œuvre des stratégies d’autorisation (RBAC, GBAC, OAuth2 scopes).
  • Mettre en œuvre l'identity brokering.
  • Administrer les utilisateurs, sessions et jetons via l’interface et les APIs.
  • Déployer et sécuriser Keycloak en environnement de production.

Objectifs opérationnels

Savoir maîtriser les fonctionnalités de KeyCloak ainsi que leur mise en place dans les différents types d’applications. (Web, Mobile, Entreprise)

Programme

Contenu du cours

Jour 1

Introduction à Keycloak

Aspects de la sécurité géré par KeyCloak, les différents acteurs de Keycloak
Les protocoles supportés : SAML/OpenIDConnect, oAuth2, JWT
Distribution et installation, les répertoires importants
Console d’administration et concepts Keycloak : royaumes, clients, utilisateurs, rôles, groupes, scopes, consentementTravaux pratiques :Objectifs : Installer Keycloak et protéger une application web simple.
Description : Déploiement local de Keycloak, création d’un realm et d’un client, test de login et logout utilisateur. Comment vérifier le bon fonctionnement de la session ?

Rappels sur les standards 

Concepts d’authentification et d’autorisation
OAuth 2.0 : acteurs, rôles et flux
OpenID Connect et les jetons JWT
Types de jetons et signatures
Décodage et validation de jetons

Travaux pratiques :Objectifs : Comprendre la structure et l’usage d’un jeton JWT.
Description : Analyse d’un jeton avec jwt.io et exploration des claims. Quelle différence entre access_token et id_token ?

Keycloak et OpenID Connect

Discovery endpoint
Flow d’authentification
Le token ID, personnalisation du user profile
Configuration du UserInfo endpoint
Gestion du logout, front et back-channnelAtelierDiscovery, Flow, personnalisation du jeton, Logout via front et back-channelJour 2

Keycloak et OAuth 2.0

Retours sur le protocole oAuth2 et les différents types de consentement
Flow d’obtention du token avec l’authorization code flow
Limitation des accès selon les audiences, les rôles, les scopes
Validation du jetonAtelierMise en place consentement de l’utilisateur, ACLs via audiences/rôles/scopes, Validation endpoint

Sécurisation des différents types d’application

Application web (front/back)
Applications mobiles et natives
Services back-end et machine-to-machine
Flux de communication et protocoles adpatésAtelierApplication native (Device Code Flow), Micro-service (Credentials Flow)

Intégration

Alternatives pour intégrer Keycloak dans les applications
Librairies et adaptateurs officiels
Intégration frameworks Java/Python
Reverse Proxy (Nginx, Traefik)
Débogage et logs d’intégrationAtelierIntégration dans applications NodeJs, Python, SpringBoot et/ou QuarkusJour 3

Stratégies d’autorisation

Modèles RBAC, GBAC
Scopes oAuth2 et politique d'accès
Stratégie custom et ABAC
Gestion centralisée avec l’Authorization ServiceAteliersGBAC , Mise en place de « Authorization Service » dans Keycloak

Exploitation et administration courante

Gestion des utilisateurs et des groupes
Gestion des mots de passe et politiques de complexité
Gestion des sessions actives et des jetons (durée, révocation)
Authentification multi-facteur (MFA) et récupération de compte
Supervision, audit et logs d’administration
Sauvegarde, montée de version et restauration

AtelierConfiguration session, jetons, règles de sécurité utilisateur, Mise en place de l’OTP, Création d’un flux d’authentification avec WebAuthJour 4

Adaptation et personnalisation avancée

Organisation et hiérarchisation des realms et clients
Adaptation du flux d’authentification (Authentication Flow, conditions et exécuteurs)
Personnalisation du thème d’authentification et de l’interface utilisateur
Identity brokering et fédération d’identités externes (LDAP, SAML, OpenID Connect)
Développement et extension via SPI (Service Provider Interface)
Intégration continue et automatisation (CLI, Admin API, scripts REST)

Recommandations pour la production

Configuration haute disponibilité (HAProxy, Operator, base de données externe)
Sécurisation du serveur (certificats TLS, headers, secrets)
Optimisation des performances et tuning JVM
Bonnes pratiques de monitoring et durcissement
Checklist de préparation à la mise en production

Travaux pratiques :Objectifs : Préparer un déploiement Keycloak robuste et sécurisé.
Description : Analyse d’un cluster Keycloak, mise en place d’un certificat TLS et vérification du fonctionnement en HA. Quelles vérifications avant la mise en production ?

Travaux pratiques

De nombreux travaux pratiques (plus de 50%) sont proposés aux participants tout au long de la formation. Les solutions des ateliers seront fournies sous forme de dépôt Git. Elles utilisent des applications web implémentées soit avec Node.js soit avec des frameworks Java/Python.

Programme mis à jour le 21/01/2026

Formations liées