FreeIPA+Keycloak+Radius结合OTP认证在WiFi、VPN、Docker Registry中的登录问题优化问询

我们团队已经把基础设施配置为：用FreeIPA作为用户数据库，Keycloak充当SSO认证系统，Radius作为认证代理，并且全环境统一采用密码+OTP的认证策略。

目前大部分对接Keycloak的应用因为自身会话保持机制，使用起来没什么问题，但有几个服务在这种认证模式下适配得很差，具体问题如下：

• WiFi通过Radius认证：用户每次重连WiFi时都需要重新验证，可此时OTP已经更新，直接导致登录失败。想问问有没有办法给WiFi设置会话保持，至少能维持一天的有效时长？
• OpenVPN：我们给OpenVPN设置了闲置超时断开的规则，结果有些网络不稳定的用户大概每30分钟就得重新输入新的OTP登录，体验特别糟糕。
• Docker Registry：我们用Keycloak插件来做Docker Registry的登录验证，现在的机制是登录后会保存用户名和密码，每次拉取/推送镜像时都会复用这些信息——这意味着每次操作镜像都得重新处理OTP验证？

备注：内容来源于stack exchange，提问作者Broskev