Vault OIDC令牌TTL未遵循Keycloak会话时长，如何配置对齐？

这是预期行为吗？ #

是的，这是Vault OIDC认证方法的预期行为。Vault仅在初始认证阶段与Keycloak交互，验证ID Token有效性并获取用户身份信息后，会生成独立的Vault令牌，其生命周期完全由自身的TTL/Max TTL配置管理，不再与Keycloak的SSO会话状态联动。即便Keycloak的SSO会话提前结束（比如用户主动登出），Vault令牌也会持续到自身设定的TTL过期才失效。

能否配置Vault令牌生命周期与Keycloak会话对齐，或实现静默重认证？ #

1. 近似对齐令牌生命周期 #

直接实时同步Keycloak会话状态与Vault令牌生命周期无法通过原生配置实现，但可以通过以下方式近似对齐时长：

• 将Vault OIDC角色的token_ttl和token_max_ttl设置为与Keycloak的SSO会话时长一致。比如Keycloak会话有效期为1小时、最长会话时长为1天，可执行以下命令配置：

vault write auth/oidc/role/my-role \
  allowed_redirect_uris="https://vault.example.com/ui/vault/auth/oidc/oidc/callback" \
  user_claim="sub" \
  token_ttl=3600 \
  token_max_ttl=86400

注意：这种方式仅能实现时长匹配，无法实时同步Keycloak的会话失效事件。

2. 实现静默重认证 #

可以借助Keycloak的Refresh Token功能，让Vault自动续期令牌，实现类似静默重认证的效果：

1. 在Keycloak客户端配置中开启Refresh Token颁发（确保客户端Access Type为confidential，并在"Settings"中设置合适的Refresh Token有效期）。
2. 在Vault的OIDC角色中启用Refresh Token使用：

vault write auth/oidc/role/my-role \
  allowed_redirect_uris="https://vault.example.com/ui/vault/auth/oidc/oidc/callback" \
  user_claim="sub" \
  use_refresh_token=true \
  token_ttl=3600 \
  token_max_ttl=86400

配置完成后，当Vault令牌临近过期时，会自动用Keycloak颁发的Refresh Token请求新的ID Token，从而自动续期Vault令牌。只要Keycloak的Refresh Token有效，就能实现静默续期；若用户在Keycloak主动登出，Refresh Token会失效，Vault令牌到期后将无法续期。

3. 实时同步会话失效（自定义方案） #

如果需要Keycloak会话失效后立即作废Vault令牌，Vault原生不支持该功能，需自定义集成：比如通过Keycloak的事件监听器捕获用户登出事件，调用Vault的vault token revoke API撤销对应令牌。这需要额外开发工作，不属于开箱即用的配置项。

内容的提问来源于stack exchange，提问作者zagnafey