Scope
This original IROSG guide covers SSO سازمانی با Keycloak، OIDC و federation using the cited primary documentation.
Core model
در OIDC، application معمولاً credential اصلی کاربر را نمی‌گیرد؛ به Identity Provider اعتماد می‌کند و token را با issuer، audience، signature و زمان اعتبار بررسی می‌کند. LDAP می‌تواند منبع user/group باشد، اما token و session منطق جدا دارند.
Practical workflow
Client type، redirect URI، PKCE، role mapping و token audience را صریح طراحی کنید. JWKS rotation و clock synchronization هم بخشی از availability authentication هستند.
Failure modes
ID Token را به‌جای Access Token برای API نفرستید. wildcard redirect URI و scope بیش از نیاز attack surface را زیاد می‌کند. اتصال LDAP نیز به‌تنهایی authorization مدل application را حل نمی‌کند.
Lab
یک realm آزمایشی با client و LDAP federation بسازید؛ login، logout، role change و token expiry را تست کنید. یک token با audience اشتباه را عمداً به API بدهید و rejection را بررسی کنید.
Production method
Capture a baseline, change one variable at a time, test positive and negative paths, keep evidence, and rehearse rollback before broad rollout.
