Realm Settings

General

Name
Название/ID реалма
Display name
Отображаемое имя
HTML Display name
Отображаемое имя с возможность использования html-тегов (например, добавление лого). Если задано, то имеет приоритет над Display name
Frontend URL
Позволяет для реалма задать отдельное доменное имя. Например, можно сделать такой матчинг auth.example.com -> sso.example.com/auth/realms/myrealm. Обработкой занимается встроенный веб-сервер. То же самое можно реализовать через reverse-proxy, типа nginx, с установкой Host хидера при проксировании и “обрезанием” путей
Enabled
Вкл/Выкл
User-Managed Access
Включить управление своими ресурсами в Account Management Console (auth/realms/myrealm/account/resource)
Endpoints
Ссылки OIDC/SAML, где можно получить все доступные точки входа для проктоколов

User registration
Разрешить самостоятельную регистрацию
Edit username
Разрешить изменять имя пользователя
Forgot password
Выводить ссылку восстановления пароля на странице логина
Remember Me
Галочка “запомнить меня” на странице логина. При логи в браузер будет отправляться постоянная кука вместо временной, которая удаляется при закрытии браузера. Так пользователь останется залогиненым не до момента закрытия браузер, а до момента истечения сессии, на которую указывает кука
Verify email
Требовать подтверждения email
Login with email
Позволяет логиниться с email-адресом в качестве логина
Require SSL
Требовать подключение по https. Можно: отключить | требовать для всех, кроме localhost и приватных сетей | требовать для всех

Keys

Active
Список криптографических ключей, которым подписываются новые токены и по которым могут проверяться старые. Используются протоколами аутентификации. Например, для подписывания JWT-токенов
Passive
Список криптографических ключей, по которым могут проверяться старые токены. Новые от этих ключей не выпускаются
Disabled
Сисок отключенных ключей
Providers
По сути сами ключи, а точнее провайдеры, которые их генерируют

Email

Настройки SMTP сервера для отправки email

Themes

Настройка тем оформления и поддерживаемых языков

Localization

Переопределение текстов локализации для выбранной темы

Cache

Сброс кешей

Tokens

Настройки параметров токенов

Default Signature Algorithm
Алгоритм для подписи токенов по-умолчанию
Revoke Refresh Token
Ограничивает количество использований refresh токена. Запрещает иметь более одного активного refresh токена.
SSO Session Idle
Если пользователь неактивен дольше указанного времени, то сессия истекает. Касается и токенов, и браузеров
SSO Session Max
Максимальное время жизни сессии, после чего сессия истекает. Касается и токенов, и браузеров
SSO Session Idle Remember Me
То же самое, что SSO Session Idle, но при нажатом “Запомнить меня”
SSO Session Max Remember Me
То же самое, что SSO Session Max, но при нажатом “Запомнить меня”
Offline Session Idle
offline_access Если пользователь неактивен дольше указанного времени, то offline токен отзывается
Offline Session Max Limited
offline_access Включает настройку максимального времени жизни сессий
Client Session Idle
То же самое, что SSO Session Idle, но для refresh токена. Если на задано, то используется SSO Session Idle
Client Session Max
То же самое, что SSO Session Max, но для refresh токена. Если на задано, то используется SSO Session Max
Access Token Lifespan
Максимальное время жизни access токена
Access Token Lifespan For Implicit Flow
Максимальное время жизни access токена для Implicit Flow
Client login timeout
Максимальное время, за которое клиент должен закончить Authorization Code Flow в OIDC
Login timeout
Максимальное время всего процесса логина. Если превышено, то надо начинать заново
Login action timeout
Максимальное время части процесса логина (одной страницы)
User-Initiated Action Lifespan
Максимальное время для действий, которые разрешил/запросил сам пользователь. Типа сброса пароля
Default Admin-Initiated Action Lifespan
Максимальное время для действий, которые разрешил/запросил админ. Типа сброса пароля
Lifetime of the Request URI for Pushed Authorization Request
Максимальное вермя Request URI для Pushed Authorization Request
Override User-Initiated Action Lifespan
Отдельная настройка таймаутов для конкретных действий, типа проверки email, сброса пароля и пр.. Переопределяет User-Initiated Action Lifespan для конкретного действия
OAuth2.0 Device Code Lifespan
Относится к OAuth 2.0 Device Authorization Grant
OAuth2.0 Device Polling Interval
Относится к OAuth 2.0 Device Authorization Grant

Client Registration

Позволяет приложениям самостоятельно создавать клиента в keycloak, без участия админа

Initial Access Tokens
Токен, который используется для регистрации
Client Registration Policies
Настройки политик для ограничения параметров регистрации клиента

Client Policies

Политики для ограничения того, какие параметры могут быть настроены у клиентов. Однако пока что это касается только автоматически создавемых клиентов. Политики нельзя применить к клиентам, создаваемым через админку

Profiles
Профили с настройками клиента
Policies
Политики, которые по различным условиям (например, типа клиента), применяют различные профили

Security Defenses

Настройка различных параметров безопасности реалма

Headers

Хидеры, которые будут устанавливаться сервером keycloak

X-Frame-Options
Настройка разрешения сайту быть отрендеренным в <frame>, <iframe>, <embed>, <object>. Защита от clickjacking.
Content-Security-Policy
Настройка того, что можно загружать внутри <frame>, <iframe>, <embed>, <object>
Content-Security-Policy-Report-Only
То же самое, что Content-Security-Policy, но только для тестирования. Политики не применяются, а только мониторятся
X-Content-Type-Options
Настройка запрета MIME sniffing браузером, когда вместо того, чтобы полагаться на хидер Content-Type, браузер сам определяет содержимое и обрабатывает его. Например, загружается какой-нибудь .jpg с Content-Type: image/jpg, но внутри javascript, который из-за MIME sniffing будет выполнен браузером
X-Robots-Tag
Правила загрузки и индексирования страниц сайта
X-XSS-Protection
Настройка остановки загрузки страницы при обнаружении XSS
HTTP Strict Transport Security (HSTS)
Настройка заголовка Strict-Transport-Security. Уведомление браузера о том, что доступ должен быть осуществлён только посредством HTTPS вместо HTTP

Brute Force Detection

Настройка защиты от брутфорса (подбор паролей)

Enabled
Вкл/Выкл
Permanent Lockout
Включить постоянную блокировку пользователя при превышении Max Login Failures
Max Login Failures
Максимальное количество попыток входа
Wait Increment
На сколько увеличить время блокировки при очередном превышении Max Login Failures
Quick Login Check Milli Seconds
Минимальное время между попытками входа. Если превышено, то блокировать
Minimum Quick Login Wait
Минимальное(стартовое) время, на которое будет заблокирован пользователь
Max Wait
Максимальное время блокировки
Failure Reset Time
Через какое время сбрасывается счётчик неудачных попыток входа