如何配置让Keycloak注册用户访问S3托管的静态网站？

1. 配置Keycloak客户端 #

• 在Keycloak控制台创建公开类型的客户端（CloudFront作为前端客户端，没法安全保存客户端密钥，所以选公开类型）
• 设置客户端的有效重定向URI为你的CloudFront域名，格式比如https://your-cloudfront-domain.com/*
• 启用直接访问授权和标准授权码流（Authorization Code Flow）
• 记下Keycloak的OIDC端点信息：访问https://your-keycloak-domain/auth/realms/your-realm/.well-known/openid-configuration，重点存好authorization_endpoint、token_endpoint、jwks_uri这几个地址

2. 给CloudFront配置OIDC身份验证 #

• 打开CloudFront控制台，找到你的分发
• 进入行为标签，编辑默认行为：
  • 开启限制查看器访问，选择「使用签名的Cookie或OIDC」
  • 配置OIDC提供方：
    • 提供方域名：填Keycloak的 realm 地址，比如https://your-keycloak-domain/auth/realms/your-realm
    • 客户端ID：用刚才在Keycloak创建的客户端ID
    • 会话超时：按需设置（比如3600秒，也就是1小时）
  • 设置允许的OIDC受众为你的客户端ID
  • 配置响应策略：允许验证通过的用户访问所有路径（/*）
  • 开启自动重定向到身份提供方：未登录用户访问时，自动跳去Keycloak的登录/注册页面

3. 调整S3存储桶的权限 #

• 确保S3桶策略只允许CloudFront的OAI（Origin Access Identity）访问，禁止直接公共访问，示例策略如下：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity YOUR-OAI-ID"
        },
        "Action": "s3:GetObject",
        "Resource": "arn:aws:s3:::your-bucket-name/*"
      }
    ]
  }
  

• 关闭S3静态网站托管的公共访问设置，确保只有通过CloudFront的请求才能拿到桶里的内容

4. 验证整个流程 #

• 访问你的CloudFront域名，会自动跳转到Keycloak的登录页面，点击「注册」完成账号创建
• 注册成功后会自动跳回CloudFront域名，此时就能正常访问S3上的静态网站了
• 可以在Keycloak控制台测试：禁用某个用户，再用该用户账号访问，应该会被拦截，以此验证权限控制生效

可选优化点 #

• 在Keycloak里自定义用户注册表单，添加你需要的字段（比如邮箱、姓名）
• 配置CloudFront的缓存策略，确保已登录用户的请求能正确缓存，提升访问速度
• 调整Keycloak的会话超时和刷新令牌策略，优化用户的登录体验

内容的提问来源于stack exchange，提问作者nikhil vippala