使用开源身份提供商 Keycloak 实现 Amazon Quick 多端 SSO——从部署到SAML + OIDC 双协议集成与验证
内容提要
本文介绍如何用开源身份提供商Keycloak为Amazon QuickSight配置多端SSO。方案在Keycloak单一Realm下创建SAML和OIDC两个客户端，分别服务QuickSight Web和Desktop登录，共享用户体系。文章详述了部署Keycloak、配置HTTPS、SAML联合、OIDC集成及验证步骤，并给出生产环境安全建议，实现统一身份管理和灵活角色控制。
延伸解读
双协议共存的架构考量
本文方案的核心是在同一个Keycloak Realm下同时配置SAML和OIDC两个客户端，分别服务QuickSight Web和Desktop。这种设计避免了维护两套用户体系，但需要注意两个客户端共享用户、组和角色，权限映射需保持一致。对于已有IAM Identity Center的企业，该方案可保留现有用户体系，仅通过IAM联邦为QuickSight增加SSO，减少迁移风险。但需留意，SAML和OIDC的配置细节不同，如SAML需配置Role和SessionDuration，OIDC则依赖email claim
生产环境部署的注意事项
文章强调，快速验证采用EC2单机+Docker+H2数据库，但生产环境必须替换为高可用架构，如使用RDS或Aurora PostgreSQL持久化数据，并通过CloudFront、ALB、Fargate或Auto Scaling实现弹性。安全方面，需使用ACM证书、强密码、最小权限IAM角色，并建议启用MFA和Revoke Refresh Token。此外，Extension Access创建后不可编辑，配置错误需删除重建，因此生产配置前务必验证所有URL和参数。
用户匹配与登录体验的细节
QuickSight Desktop通过OIDC的email claim与QuickSight用户匹配，要求邮箱完全一致（大小写敏感），且用户需在Keycloak和QuickSight中同时存在。若用户首次通过SAML Web登录，会自动注册，但Desktop登录前需确保用户已存在。此外，QuickSight支持多种登录入口，包括IdP发起和SP发起，原有用户仍可通过非SSO链接登录，这为迁移提供了缓冲。但需注意，Mobile App的SSO登录流程与Web类似，但需在移动设备上完成浏览器跳转。
Q&A
如何用Keycloak为Amazon QuickSight配置SSO？
在Keycloak中创建一个Realm，并分别创建SAML和OIDC两个客户端。SAML客户端用于Amazon QuickSight Web和Mobile的SSO，OIDC客户端用于Amazon QuickSight Desktop的企业登录。两个客户端共享同一套用户、组和角色体系，实现统一身份管理。
Keycloak部署时如何配置HTTPS？
使用AWS Certificate Manager (ACM)申请公有SSL证书，导出证书和私钥，将证书和证书链合并为fullchain.pem，然后转换为PKCS12格式的keystore，最后在启动Keycloak容器时通过--https-key-store-file参数指定keystore文件。
如何配置SAML联合实现Amazon QuickSight Web的SSO？
在Keycloak中创建Realm并导入AWS SAML metadata创建SAML客户端，配置Home URL、Valid redirect URIs等属性。然后在IAM中创建SAML提供商和三个角色（Admin、Author、Reader），并在Keycloak中创建对应的角色和Mapper，最后在Amazon QuickSight管理控制台配置SSO。
如何配置OIDC集成实现Amazon QuickSight Desktop的企业登录？
在Keycloak中创建OIDC客户端，配置PKCE和重定向URI。然后在Amazon QuickSight管理控制台的Extension Access中添加Desktop application，填写Keycloak的OIDC端点信息（Issuer URL、Authorization Endpoint等）。用户登录时通过OIDC协议进行认证。
Amazon QuickSight Desktop登录时如何匹配用户？
QuickSight Desktop通过OIDC Token中的email claim与QuickSight中已存在的用户进行匹配，要求邮箱完全一致（大小写也必须匹配）。因此需要在Keycloak中设置正确的email，并在QuickSight管理控制台添加该用户。
生产环境部署Keycloak有哪些安全建议？
生产环境建议使用WAF、CloudFront、ALB、ECS/EKS和Aurora PostgreSQL等架构，确保高可用和数据持久化。安全方面包括：使用有效SSL证书、强密码、最小权限IAM角色、开启Revoke Refresh Token、启用MFA等。
Keycloak如何实现多端SSO？
在同一个Keycloak Realm下创建SAML和OIDC两个客户端，分别服务QuickSight Web/Mobile和Desktop，共享同一套用户体系。这样用户只需一套凭证即可登录所有QuickSight组件。
如何验证SAML SSO是否配置成功？
通过访问Keycloak的SAML客户端URL（如https://keycloak.example.com/realms/aws-realm/protocol/saml/clients/amazon-qs），输入Keycloak用户凭证，如果自动跳转到Amazon QuickSight Web控制台，则说明配置成功。
