Keycloak 客户端设置，SAML 私钥暴露

Question

我知道在 SAML 协议中，IDP 和 SP 他们持有自己的密钥对，并且不会向对方公开他们的私钥。

我假设下面的领域密钥是 IDP 密钥对，这是有道理的，因为私钥没有公开。

但是，当我在客户端设置中打开“需要客户端签名”时，会生成 SAML 密钥并公开私钥？这意味着 IDP 知道将在 SP 应用程序中使用的私钥。

这没有意义，一定是我搞错了什么。有人可以帮忙澄清一下吗？

Answer 1

好吧，我想我应该知道答案了。

我的想法是正确的，客户端 SAML 密钥用于签署 SAML 请求，领域密钥用于签署 SAML 响应。

客户端 SAML 私钥应该保存在客户端的应用程序端，keycloak 之所以保存它，是因为 keycloak 提供了“安装”功能，方便用户下载适配器配置。

如果私钥没有保存在 keycloak 中，那么用户必须自己输入密钥值，那么可能就不那么方便了。