Día 4 - Asegurando API con Keycloak

Si ya tienes una API .NET en marcha, puedes integrar Keycloak para añadir autenticación y autorización basada en roles sin reescribir tu backend. En esta guía verás la puesta en marcha, manejo de tokens, políticas RBAC y respuestas a dudas frecuentes. Además, te contamos cómo en Q2BSTUDIO, especialistas en software a medida, aplicaciones a medida, inteligencia artificial, ciberseguridad, servicios cloud aws y azure, servicios inteligencia de negocio y power bi, acompañamos a empresas en implementaciones seguras y escalables.

Que es Keycloak

Keycloak es una solución open source de gestión de identidades y accesos IAM que facilita proteger aplicaciones y servicios con el mínimo esfuerzo. Ofrece inicio de sesión único SSO, gestión de usuarios, control de acceso basado en roles RBAC, soporte de protocolos OpenID Connect, OAuth2 y SAML, e integra con múltiples plataformas como Java, .NET y Node.js. Con Keycloak evitas implementar lógica compleja de autenticación y autorización en tu app, ideal para desarrollo y producción.

Por que elegir Keycloak

Incluso si usas IdentityServer, Keycloak aporta un servidor IAM listo para usar con interfaz web y SSO, gestión de roles y RBAC para asegurar endpoints, es open source, preparado para producción con clustering y Kubernetes, y soporta varios protocolos pensando en integraciones futuras como frontend, móvil y microservicios.

Cuando conviene Keycloak

Cuando quieres autenticación centralizada entre varios servicios, un panel de administración para gestionar usuarios, roles y clientes, y planificas SSO para apps web o móviles.

Ejemplo de Pull Request

El PR GitHub SmartKart Catalog muestra JWT en una API existente y autorización por roles admin y vendor. Puedes revisarlo en SmartKart Catalog PR 4.

Arranque rapido de Keycloak con Docker

La forma mas sencilla de probar Keycloak en local es con Docker. Guía oficial en Keycloak Docker Getting Started. Comando de ejemplo para entorno de desarrollo local: docker run -d --name keycloak -p 8080:8080 -e KEYCLOAK_ADMIN=admin -e KEYCLOAK_ADMIN_PASSWORD=admin quay.io/keycloak/keycloak:25.0.6 start-dev

Accede a la consola de administración en https://localhost:8080 con usuario admin y contraseña admin.

Configuracion basica en Keycloak

1 Crea un Realm llamado demo-realm. 2 Crea un Client para tu API con ID demo-api usando protocolo OpenID Connect y tipo de acceso confidential, copia el client secret. 3 Crea roles admin y vendor. 4 Crea usuarios y asígnales roles ejemplo admin-user con rol admin, vendor-user con rol vendor.

Protegiendo tu API .NET existente

1 Añade el paquete Microsoft.AspNetCore.Authentication.JwtBearer. 2 En Program.cs configura autenticación con esquema Bearer y JwtBearer apuntando a Authority https://localhost:8080/realms/demo-realm y valida la audiencia con ValidAudience demo-api. 3 Define políticas de autorización AdminOnly con rol admin, VendorOnly con rol vendor y AdminOrVendor aceptando ambos. 4 Habilita el middleware UseAuthentication y UseAuthorization y conserva MapControllers.

Aplicar RBAC en controladores

Usa el atributo Authorize en tus controladores o endpoints. Por ejemplo, un controlador de administración puede requerir el rol admin y uno de proveedores el rol vendor. También puedes aplicar políticas personalizadas como AdminOrVendor a nivel de acción o controlador.

Obtener un access token para pruebas

Para pruebas locales con grant type password puedes usar curl o herramientas como Postman. Ejemplo orientativo con curl en PowerShell sin comillas para ilustrar parámetros principales usar POST a la ruta del token del realm, enviar Content-Type application/x-www-form-urlencoded y en el cuerpo grant_type=password, client_id=demo-api, client_secret=tu-secreto, username=tu-usuario, password=tu-password. En producción se recomienda Authorization Code con PKCE para usuarios interactivos y Client Credentials para comunicación servicio a servicio.

Authority frente a ValidIssuer

Authority es la URL base del realm en Keycloak por ejemplo https://localhost:8080/realms/demo-realm y permite que el middleware obtenga metadatos automáticamente. ValidIssuer es el valor exacto del claim iss del token. Buenas prácticas usar Authority y ValidAudience y solo ajustar ValidIssuer si tu despliegue está detrás de proxies o requiere un emisor distinto.

Dudas frecuentes

Por que Keycloak y no IdentityServer Keycloak viene listo con UI, SSO y gestión de roles, mientras que IdentityServer suele requerir más desarrollo a medida. Pueden varios APIs compartir un mismo realm Sí, cada API puede ser un client distinto en el mismo realm. Cómo se asignan roles Los roles de realm son globales y los roles de cliente son específicos de cada aplicación o API. Un usuario puede acumular ambos. Es Keycloak apto para producción Sí, soporta clustering, balanceo y despliegue en Kubernetes. Se puede hacer autenticación client to client Sí, usando el flujo client credentials.

Consejos de despliegue

Usa HTTPS en entornos no locales, configura correctamente el issuer y el proxy, activa rotación de claves, limita alcances y privilegios, y registra eventos de login y auditoría. Si operas en nubes públicas, integra con servicios cloud aws y azure y considera el hardening de la plataforma.

Como te ayuda Q2BSTUDIO

En Q2BSTUDIO integramos Keycloak en arquitecturas .NET y microservicios, reforzando ciberseguridad, cumplimiento y escalabilidad. Diseñamos software a medida y aplicaciones a medida con mejores prácticas DevSecOps, RBAC y Zero Trust. Si te interesa fortalecer tu postura de seguridad puedes visitar nuestra página de ciberseguridad y pentesting, y si necesitas desplegar Keycloak y tu API en la nube, podemos ayudarte con servicios cloud aws y azure. También aplicamos inteligencia artificial e ia para empresas con agentes IA para acelerar la detección de anomalías y reforzar la protección en APIs, y ofrecemos servicios inteligencia de negocio y power bi para visibilidad end to end.

Recursos

Guía Docker de Keycloak en Keycloak Docker Getting Started. Pull Request de referencia en SmartKart Catalog PR 4.

Dia 4 Asegurando API con Keycloak resumen

Keycloak simplifica la autenticación OIDC y la autorización RBAC en APIs .NET con cambios mínimos, facilita SSO, escalabilidad y gobierno de identidades y encaja perfecto en estrategias de ciberseguridad modernas. Con el apoyo de Q2BSTUDIO, podrás orquestar un entorno robusto y escalable, combinando seguridad, agentes IA, cloud, analytics y desarrollo de software a medida para tu negocio.