通过Keycloak存储事件及用户同步、日志对接Splunk相关问题咨询

事件采集与syslog上报实现 #

• Keycloak默认已内置事件采集能力，覆盖登录成功、登录失败、登出、会话超时四类事件，无需额外开发采集逻辑，可直接在管理控制台的「事件设置」页开启事件存储与保留周期配置
• 会话超时事件默认由Keycloak的会话过期检测线程自动触发，触发后会生成标准SESSION_TIMEOUT类型事件，和其他事件共用同一事件队列
• 上报syslog可通过两种方案实现：
  1. 直接配置Keycloak日志框架输出：Keycloak基于Quarkus（新版本）/WildFly（旧版本）运行，可修改日志配置文件，将事件日志分类输出到syslog端点，配置项参考对应运行环境的日志syslog输出规则即可
  2. 自定义事件监听器SPI：开发Keycloak扩展的事件监听器实现类，实现EventListenerProvider接口，在onEvent方法中匹配目标事件类型，直接调用syslog客户端推送事件，该方案灵活性更高，可自定义上报字段格式

上述配置与SPI开发规则均在Keycloak官方文档的「事件监听器」「日志配置」章节有明确说明，可直接查阅对应版本的官方文档获取细节

Splunk对接实现指导 #

• 方案一（日志采集模式）：无需修改Keycloak代码，直接部署Splunk通用转发器到Keycloak运行节点，配置转发器采集Keycloak输出的事件日志文件，将日志推送到Splunk索引节点即可，该方案对业务侵入性最低
• 方案二（事件直推模式）：在上述自定义事件监听器SPI的基础上，新增Splunk HTTP Event Collector调用逻辑，事件触发时直接将格式化后的JSON事件推送到对应端点，可实现事件的实时上报
• 配置时需注意在Splunk侧提前创建对应索引，配置字段提取规则匹配Keycloak事件的字段结构，即可实现事件的分类检索与统计

自研同步模块新增邮箱同步实现 #

• Keycloak的用户模型中邮箱字段对应UserModel的setEmail()方法，同步逻辑调整如下：
  1. 首先在自研用户存储模块的查询接口中新增邮箱字段返回，确保同步器能拉取到对应用户的邮箱数据
  2. 修改同步器的用户数据映射逻辑，将拉取到的邮箱字段赋值到Keycloak用户对象的邮箱属性，调用setEmail()方法后执行用户更新操作即可
  3. 若需要同步邮箱验证状态，可同步调用setEmailVerified()方法传入对应布尔值
• 若需支持增量同步邮箱，可在同步逻辑中添加字段变更检测，仅当邮箱字段发生变更时才触发Keycloak侧的更新，降低同步性能消耗

内容的提问来源于stack exchange，提问作者MagicMan