Installation Verinice Veo - Keycloak Version

firefly · October 8, 2024, 10:25am

Hallo zusammen,

leider funktioniert das Keycloak Realm, so wie in den docs von verinice-veo gespiegelt nicht wirklich mit der neusten Version. Da werden bestimmte Claims, wie z.B. Groups, nicht in dem Token gegeben, was in der Nutzung einen Fehler verursacht.
Mit welcher Keycloak Version wurde die Datei erzeugt?
Vielen lieben Dank im Voraus für die Unterstützung!

AlexanderK · October 8, 2024, 2:24pm

Der Export stammt aus einer 22.0.5, ließ sich aber bisher auch in neueren Versionen importieren. Ich vermute hier eher ein Problem in der Konfiguration. Sind für den „veo-on-premise“ Client die Token Mapper „groups“ und „realm roles“ vorhanden?

Falls ja, prüfen ob der angelegte User in den nötigen Gruppen ist, das wären mindestens „veo-user“, „veo-write-access“ (für Schreibzugriff) und eine „veo_client:“ Group mit einer UUID, die entsprechend in VEO als Client angelegt wurde.

Der Client muss dafür korrekt initialisiert sein, entsprechend dieser Dokumentation:

github.com

SerNet/verinice-veo-accounts/blob/main/doc/index.md

# veo-accounts

## Documentation

Veo-accounts is a REST API that can be used by account managers to retrieve, create, modify, and delete veo user accounts within their own veo client. In the veo application ecosystem, it acts as a facade to the Keycloak admin API and is responsible for managing users and groups in Keycloak.

For exhaustive API documentation, launch veo-accounts and visit `/swagger-ui.html`.

### Clients
Each veo client is represented as a Keycloak group with the group name schema "veo_client:{uuid}". Veo clients are not to be confused with [Keycloak clients](https://www.keycloak.org/docs/latest/server_admin/#core-concepts-and-terms). Veo-accounts creates, updates, and deletes veo client groups in Keycloak when the corresponding [external events](./events.md) are received.

### Client initialization

To enable account management in a [newly created](./events.md#creation) veo client, an initial user must be created (otherwise there would be no users in the group who could authenticate with the veo-accounts API). For this purpose, the API features a dedicated endpoint `POST /initial`, which requires a secret API key (as opposed to the JWT that is required for other endpoints). The initial user is created with [account management privileges](#authorization) and will receive an email with a password reset link.

### Account management
After defining a password, the initial user can authenticate with veo-accounts using a JWT and create additional accounts in their own veo client group. `GET`, `POST`, `PUT` & `DELETE` endpoints are available for managing accounts. For usage details, see the API documentation and [Restrictions](#restrictions).

### Authentication
Users authenticate with veo-accounts using a JWT for the public Keycloak authentication client (e.g. "veo-prod" or

This file has been truncated. show original

firefly · October 9, 2024, 9:08am

Danke, scheinbar gibt es doch paar kleine Unterschiede. Die neueren Versionen machen einiges automatisiert. Version 24 mit den vorgeschlagenen Änderungen auf dem anderen Thread haben funktioniert. Bis auf den erwähnten /forms und /domains error.