Keycloak问题：客户端应用登出后未同步注销Kibana用户会话

问题根源 #

当前的登出逻辑仅完成了Spring应用（app1）和Keycloak自身的会话注销，但未触发Keycloak的**单点登出（SLO）**流程，导致已登录的Kibana客户端会话未被清理。Keycloak的SLO需要客户端支持回调机制，同时Spring端的登出请求需正确触发Keycloak的全局登出端点。

解决方案步骤 #

1. 配置Keycloak中Kibana客户端的SLO支持 #

在Keycloak控制台找到Kibana客户端，调整以下配置：

• 开启Frontchannel Logout：在客户端Settings标签下，勾选Frontchannel Logout Enabled。该方式通过浏览器iframe通知Kibana注销会话，适配前端应用场景。
• （可选）配置Backchannel Logout URL：若Kibana支持后端回调，在Advanced标签下的Backchannel Logout URL填入Kibana的登出回调地址（如https://your-kibana-domain/logout），Keycloak会主动向后端发送注销请求。
• 确保Valid Redirect URIs包含Kibana的回调地址，避免登出重定向失败。

2. 调整Spring Security的登出逻辑 #

当前KeycloakLogoutHandler可能仅处理本地和Keycloak会话，需确保登出请求触发Keycloak的SLO端点，实现全局注销。修改登出Filter配置如下：

@Bean(name = "logoutFilter")
public LogoutFilter logoutFilter(AdapterDeploymentContext adapterDeploymentContext, KeycloakProperties keycloakProperties) {
    KeycloakLogoutHandler keycloakLogoutHandler = new KeycloakLogoutHandler(adapterDeploymentContext);
    // 设置登出后重定向地址，确保Keycloak处理完全局登出后跳转回指定页面
    keycloakLogoutHandler.setPostLogoutRedirectUri(keycloakProperties.getDefaultTargetLogoutUrl());
    
    SecurityContextLogoutHandler localLogoutHandler = new SecurityContextLogoutHandler();
    AntPathRequestMatcher matcher = new AntPathRequestMatcher("/sso/logout**", HttpMethod.POST.toString());
    
    // 将KeycloakLogoutHandler作为第一个处理器，优先触发全局登出流程
    LogoutFilter filter = new LogoutFilter(keycloakProperties.getDefaultTargetLogoutUrl(), keycloakLogoutHandler, localLogoutHandler);
    filter.setLogoutRequestMatcher(matcher);
    return filter;
}

3. 验证Kibana的OIDC配置 #

确保Kibana的OIDC配置启用单点登出，在kibana.yml中添加或调整：

xpack.security.authc.providers.oidc.oidc1:
  order: 0
  realm: "oidc1"
  client_id: "kibana-client-id"
  client_secret: "kibana-client-secret"
  issuer: "https://your-keycloak-domain/auth/realms/your-realm"
  redirect_uri: "https://your-kibana-domain/api/security/v1/oidc/callback"
  # 配置登出重定向地址
  logout.redirect_url: "https://your-kibana-domain/logout"
  post_logout_redirect_uri: "https://your-keycloak-domain/auth/realms/your-realm/protocol/openid-connect/logout?redirect_uri=https://your-kibana-domain"

原理说明 #

Keycloak单点登出有两种触发模式：

• Frontchannel Logout：Keycloak登出时，通过页面加载已登录客户端的登出iframe，触发客户端会话注销。
• Backchannel Logout：Keycloak主动向客户端后端地址发送POST请求，通知注销会话。

调整Spring端逻辑后，登出请求会优先触发Keycloak的SLO端点，Keycloak会遍历当前用户所有活跃客户端会话，通过上述两种方式通知注销，实现全局登出。

内容的提问来源于stack exchange，提问作者Varun Kancharla