Bölüm 1: Keycloak'u Docker Üzerinde Ayağa Kaldırma

version: '3.8'

services:
  postgres:
    image: postgres:15-alpine
    container_name: postgres_keycloak
    environment:
      POSTGRES_DB: keycloak
      POSTGRES_USER: keycloak
      POSTGRES_PASSWORD: password123
    volumes:
      - postgres_data:/var/lib/postgresql/data
    networks:
      - keycloak-net

  keycloak:
    image: quay.io/keycloak/keycloak:24.0.1
    container_name: keycloak_server
    environment:
      KC_DB: postgres
      KC_DB_URL: jdbc:postgresql://postgres:5432/keycloak
      KC_DB_USERNAME: keycloak
      KC_DB_PASSWORD: password123
      KEYCLOAK_ADMIN: admin
      KEYCLOAK_ADMIN_PASSWORD: adminpassword
    command: start-dev
    ports:
      - "8080:8080"
    depends_on:
      - postgres
    networks:
      - keycloak-net

volumes:
  postgres_data:

networks:
  keycloak-net:
    driver: bridge

docker compose up -d

• Keycloak ayağa kalktıktan sonra tarayıcınızdan http://localhost:8080 adresine gidebilir, admin / adminpassword bilgileriyle yönetim paneline giriş yapabilirsiniz.

Bölüm 2: Keycloak Tarafında Roller ve Client Yapılandırması

1. Realm Oluşturma: Keycloak panelinde sol üstten yeni bir Realm oluşturun (Örn: blog-realm).
2. Client Oluşturma: Clients menüsünden yeni bir client ekleyin:
   
   
   • Client ID: django-blog-app
   • Client Authentication: On (Confidential)
   • Valid Redirect URIs: http://localhost:8000/oidc/callback/
3. Rol Tanımlama (Roles):
   
   
   • Oluşturduğunuz client'ın içine girin ve Client Roles sekmesinden şu iki rolü oluşturun:
     
     
     • editor
     • admin
4. Kullanıcıya Rol Atama:
   
   
   • Users menüsünden bir kullanıcı oluşturun.
   • Kullanıcının detay sayfasında Role mapping sekmesine gidin ve oluşturduğunuz editor veya admin rolünü kullanıcıya atayın.

Bölüm 3: Django'da Rol Bazlı Yetkilendirme (RBAC) Entegrasyonu

1. Özel OIDC Backend ile Rolleri Django'ya Aktarma

from mozilla_django_oidc.auth import OIDCAuthenticationBackend

class KeycloakOIDCAuthenticationBackend(OIDCAuthenticationBackend):
    def create_user(self, claims):
        user = super().create_user(claims)
        self.update_user_roles(user, claims)
        return user

    def update_user(self, user, claims):
        self.update_user_roles(user, claims)
        return user

    def update_user_roles(self, user, claims):
        """
        Keycloak token/claim içerisinden gelen rolleri okur 
        ve Django grup/yetki sistemine işler.
        """
        # Keycloak JWT yapısına göre roller genelde resource_access içinde gelir
        resource_access = claims.get('resource_access', {})
        client_access = resource_access.get('django-blog-app', {})
        roles = client_access.get('roles', [])

        # Örnek: 'admin' rolüne sahipse Django is_staff yapalım
        if 'admin' in roles:
            user.is_staff = True
            user.is_superuser = True
        else:
            user.is_staff = False
            user.is_superuser = False
        
        user.save()

2. settings.py Güncellemesi

AUTHENTICATI
    'accounts.backends.KeycloakOIDCAuthenticationBackend', # Özel backend
    'django.contrib.auth.backends.ModelBackend',
]

# Claims içerisinden rollerin düzgün okunabilmesi için OIDC ayarları (gerekirse ek scopes)
OIDC_RP_SIGNATURE_ALGO = 'RS256'
OIDC_OP_JWKS_ENDPOINT = 'http://localhost:8080/realms/blog-realm/protocol/openid-connect/certs'

3. Django Görünümlerinde (Views) Rol Kontrolü

• Fonksiyon Bazlı Görünümlerde (Function-based views):
  
  
   

  from django.contrib.auth.decorators import user_passes_test
  from django.shortcuts import render
  
  def is_editor(user):
      return user.is_authenticated and (user.is_staff or user.groups.filter(name='editor').exists())
  
  @user_passes_test(is_editor)
  def blog_yonetim_paneli(request):
      return render(request, 'blog/admin_panel.html')
  

• Sınıf Bazlı Görünümlerde (Class-based views):
  
  

  from django.contrib.auth.mixins import LoginRequiredMixin, UserPassesTestMixin
  from django.views.generic import TemplateView
  
  class ArticleCreateView(LoginRequiredMixin, UserPassesTestMixin, TemplateView):
      template_name = 'blog/article_create.html'
  
      def test_func(self):
          # Sadece admin veya editor rolündekiler erişebilir
          return self.request.user.is_staff
  

Özet Senaryo Akışı

1. Kullanıcı Django'da korumalı bir sayfaya gider ve Keycloak'a yönlendirilir.
2. Keycloak üzerinde editor rolüne sahip kullanıcı başarıyla giriş yapar.
3. Keycloak, Django'ya kullanıcı bilgilerini ve rollerini iletir.
4. KeycloakOIDCAuthenticationBackend sınıfımız bu rolleri yakalar ve kullanıcının yetkilerini (örn. is_staff = True) günceller.
5. Django, @user_passes_test veya UserPassesTestMixin yardımıyla kullanıcının sayfaya erişimine izin verir.