Open-Source-Identitäts- und Zugriffsverwaltung

Fügen Sie Anwendungen mit minimalem Aufwand Authentifizierung hinzu und sichern Sie Dienste ab. Sie müssen sich nicht mehr um die Speicherung oder Authentifizierung von Benutzern kümmern.

Keycloak bietet Benutzerföderation, starke Authentifizierung, Benutzerverwaltung, feingranulare Autorisierung und mehr.

Hilfe und Dokumentation

• Dokumentation
• Benutzer-Mailingliste – Mailingliste für Hilfe und allgemeine Fragen zu Keycloak
• Treten Sie #keycloak für allgemeine Fragen oder #keycloak-dev auf Slack für Design- und Entwicklungsdiskussionen bei, indem Sie ein Konto unter https://slack.cncf.io/ erstellen.

Melden von Sicherheitslücken

Wenn Sie eine Sicherheitslücke gefunden haben, lesen Sie bitte die Anweisungen zur ordnungsgemäßen Meldung.

Melden eines Problems

Wenn Sie glauben, einen Defekt in Keycloak entdeckt zu haben, öffnen Sie bitte ein Issue. Bitte denken Sie daran, eine gute Zusammenfassung, eine Beschreibung sowie Schritte zur Reproduktion des Problems anzugeben.

Erste Schritte

Um Keycloak auszuführen, laden Sie die Distribution von unserer Website herunter. Entpacken Sie sie und führen Sie aus:

bin/kc.[sh|bat] start-dev

Alternativ können Sie das Docker-Image verwenden, indem Sie ausführen:

docker run quay.io/keycloak/keycloak start-dev

Weitere Details finden Sie in der Keycloak-Dokumentation.

Aus dem Quellcode erstellen

Informationen zum Erstellen aus dem Quellcode finden Sie im Leitfaden Erstellen und Arbeiten mit der Codebasis.

Testen

Informationen zum Ausführen von Tests finden Sie im Leitfaden Tests ausführen.

Tests schreiben

Informationen zum Schreiben von Tests finden Sie im Leitfaden Tests schreiben.

Mitwirken

Bevor Sie zu Keycloak beitragen, lesen Sie bitte unsere Richtlinien für Beiträge. Die Teilnahme am Keycloak-Projekt unterliegt dem CNCF-Verhaltenskodex.

Die Teilnahme an einem Community-Meeting ist eine großartige Möglichkeit, sich einzubringen und die Zukunft von Keycloak mitzugestalten.

Verhaltenskodex

Wir sind bestrebt, allen Mitwirkenden und Benutzern von Keycloak eine sichere, einladende und konstruktive Umgebung zu bieten. Um diesen Raum zu schützen, setzen wir unseren Verhaltenskodex aktiv durch. Wenn Sie einen Vorfall melden oder gegen eine Moderationsentscheidung Einspruch einlegen möchten, senden Sie bitte eine E-Mail an [email protected].

Weitere Keycloak-Projekte

• Keycloak – Keycloak-Server und Java-Adapter
• Keycloak Client – Keycloak-Client-Bibliotheken
• Keycloak QuickStarts – QuickStarts für den Einstieg in Keycloak
• Keycloak Node.js Connect – Node.js-Adapter für Keycloak

Lizenz

• Apache License, Version 2.0

Keycloak CVE-2026-18963 Docker-Lab

Dieses Lab startet die verwundbare Keycloak-Version 26.7.1 auf localhost und legt ein minimales Realm an, um den CVE-Ablauf zu reproduzieren.

Untersuchungsdokumente

• Workflow-Analyse: Ursachenanalyse auf Quellcodeebene, betroffene Anfragesequenz, Patch-Vergleich und Behebung.
• Nachweise und Testmatrix: Abnahmekriterien für verwundbare und behobene Builds.

Start

docker compose up -d keycloak-vuln
docker compose up --abort-on-container-exit keycloak-lab-init

Keycloak wird bereitgestellt unter:

• http://127.0.0.1:18080
• Admin-Konsole: admin / admin

Vorbefüllte Lab-Objekte:

• Realm: lab
• Client: poc
• Redirect-URI: http://localhost/cb
• Benutzer: victim
• Passwort: OldPassw0rd!

Stoppen

docker compose down

Hinweise

• Diese Compose-Datei führt absichtlich nur die verwundbare Version aus.
• Der Init-Container ist ausreichend idempotent für wiederholte lokale Tests; er überspringt vorhandene Realm/Client/Benutzer und setzt das Opfer-Passwort zurück.
• Die Laufzeit-Reproduktion wurde in der aktuellen Review-Umgebung nicht ausgeführt, da Docker nicht verfügbar war. Betrachten Sie die statische Quellcode-Analyse nicht als Live-Übernahmeergebnis, bis die Evidenzmatrix in einem isolierten Labor ausgeführt wurde.