« DeepSeek apiplatform keycloak » : différence entre les versions

== Comment fonctionne apiplatform et un sevrveur keycloak ensemble ? ==

L'intégration d''''API Platform''' et d'un serveur '''Keycloak''' permet de créer une architecture sécurisée où les API sont protégées par un système d'authentification et d'autorisation robuste. Voici comment ces deux technologies fonctionnent ensemble :

---

=== 1. '''Rôles de chaque composant''' ===  

*'''API Platform''' :  

:Serveur d'authentification et de gestion des identités.

:Gère les utilisateurs, les rôles, les permissions, et délivre des tokens d'accès (JWT) via des protocoles comme OAuth2 et OpenID Connect.

=== 2. '''Flux d'intégration''' ===  

Voici les étapes clés pour faire fonctionner API Platform et Keycloak ensemble :

==== a. '''Configuration de Keycloak''' ====

*1. '''Créer un Realm''' :  

:URL du serveur Keycloak.

:Client ID et Client Secret (pour l'authentification côté serveur).

==== b. '''Configuration d'API Platform''' ====  

===== 1. '''Installer un bundle de sécurité''' : =====

     - { path: ^/api, roles: ROLE_USER }

</syntaxhighlight>

===== 3. '''Valider les tokens JWT''' :=====

* API Platform valide les tokens JWT reçus dans les requêtes en utilisant la clé publique de Keycloak.

* La clé publique est généralement récupérée depuis l'endpoint `.well-known/jwks.json` de Keycloak.

==== c. '''Authentification des Utilisateurs''' ====  

*1. '''Flux OAuth2/OpenID Connect''' :

:API Platform valide le token JWT en utilisant la clé publique de Keycloak.

:Si le token est valide, l'utilisateur est authentifié et les rôles/permissions sont extraits du token.

==== d. '''Autorisation''' ====  

*Les rôles et permissions contenus dans le token JWT sont utilisés pour restreindre l'accès aux routes ou opérations spécifiques.

}

</syntaxhighlight>

=== 3. '''Exemple de flux complet''' ===

:Si le token est valide et que l'utilisateur a les permissions nécessaires, l'API renvoie les données demandées.

:Sinon, une erreur `401 Unauthorized` ou `403 Forbidden` est renvoyée.

=== 4. '''Avantages de cette intégration''' ===  

==== 4. '''Gestion des utilisateurs''' : ====  

:Keycloak offre une interface pour gérer les utilisateurs, les rôles, et les permissions.

=== 5. '''Outils et Bibliothèques Utiles''' ===

==== 3. '''Keycloak Admin Client''' : ====  

:Pour interagir avec Keycloak programmatiquement (créer des utilisateurs, des rôles, etc.).

En résumé, API Platform et Keycloak fonctionnent ensemble en utilisant des tokens JWT pour sécuriser les API.<br />

Keycloak gère l'authentification et l'autorisation, tandis qu'API Platform expose les API et valide les tokens pour garantir un accès sécurisé.

Lorsque vous utilisez '''API Platform''' avec un serveur '''Keycloak''', il est important de comprendre la différence entre '''ID Token''' et '''Access Token''', car ces deux types de tokens ont des rôles distincts dans le processus d'authentification et d'autorisation. Voici une explication détaillée :

=== 1. '''Access Token'''===  

==== a. '''Rôle''' : ====

:1. Authentifier l'utilisateur (vérifier que le token est valide et signé par Keycloak).

:2. Autoriser l'accès aux routes ou opérations en fonction des rôles ou permissions contenus dans le token.

===2. '''ID Token'''===

:1. Connaître les informations de l'utilisateur (nom, email, etc.).

:2. Maintenir une session utilisateur côté client.

===3. '''Différences clés entre ID Token et Access Token'''===

{| class="wikitable" style="margin:left"

|-

! '''Aspect''' !! '''ID Token''' !! '''Access Token'''  

| '''Utilisation dans API Platform''' || Non utilisé directement. || Utilisé pour l'authentification et l'autorisation.

|}

===4. '''Flux typique avec API Platform et Keycloak'''===

:Le client envoie l''''Access Token''' dans l'en-tête `Authorization` des requêtes API.

:API Platform valide l''''Access Token''' et vérifie les permissions avant de renvoyer les données.

===5. '''Exemple concret'''===

:API Platform valide l''''Access Token''' en utilisant la clé publique de Keycloak.

:Si le token est valide et que l'utilisateur a les permissions nécessaires, l'API renvoie les données.

===6. '''Bonnes pratiques'''===

:'''Utiliser HTTPS''' : Pour protéger les tokens lors de leur transmission.

:'''Vérifier les scopes et rôles''' : Assurez-vous que l'Access Token contient les permissions nécessaires pour accéder aux ressources.

===7. '''En résumé''' ===

l''''ID Token''' est utilisé pour authentifier l'utilisateur côté client, tandis que l''''Access Token''' est utilisé pour accéder aux ressources protégées côté serveur (API Platform).<br />

=== [[ Mistral_apiplatform_keycloak | Voir les réponses aux mêmes questions posées à Mistral]] ===