Keycloak vs Auth0: Keycloak Nedir ve Nasıl Kurulur?

1. Keycloak Nedir ve Temel Özellikleri Nelerdir?

Keycloak, uygulamalarınıza ve API'lerinize asgari eforla güvenlik eklemenizi sağlayan merkezi bir kimlik sunucusudur. Her projenin ayrı bir kullanıcı veritabanı tutması yerine, tüm kimlik işlemleri Keycloak üzerinde merkezileştirilir.

Öne çıkan temel özellikleri şunlardır:

• Single Sign-On (SSO): Kullanıcılar sisteme sadece bir kez giriş yapar ve yetkisi olan diğer tüm bağımsız uygulamalara tekrar şifre girmeden erişebilir.
• Standart Protokoller: Sektör standardı olan OAuth 2.0, OpenID Connect (OIDC) ve SAML 2.0 protokollerini tam destekler.
• Sosyal Giriş (Social Login): Herhangi bir kod yazmadan Google, GitHub, Facebook ve Twitter ile giriş yapma özelliğini aktif edebilirsiniz.
• LDAP ve Active Directory: Kurumsal şirketlerdeki mevcut kullanıcı dizinlerine doğrudan bağlanabilir.
• Özelleştirilebilir Arayüz: Giriş yapma, kayıt olma ve şifre sıfırlama sayfalarının temasını (HTML/CSS) kendi markanıza göre değiştirebilirsiniz.

2. Mikroservislerde Neden Keycloak Kullanmalıyız?

10 farklı mikroservisten oluşan bir mimariniz olduğunu düşünün. Her servisin kendi JWT üretimini ve doğrulamasını yapması mimari bir kâbustur. Keycloak, güvenliği iş mantığından (business logic) tamamen ayırır.

• İstemci (Client - Web veya Mobil), giriş yapmak için Keycloak'ın sağladığı login sayfasına yönlendirilir.
• Giriş başarılı olduğunda Keycloak bir JWT (JSON Web Token) üretir.
• İstemci bu token'ı backend servislerinize gönderir.
• Her mikroservis, Keycloak'a tekrar ağ isteği (network request) atmadan, Keycloak'ın Public Key (Açık Anahtar) bilgisiyle token'ın imzasını yerel olarak saniyenin onda biri sürede doğrular.

Bu yapı hem inanılmaz performanslıdır hem de servislerin birbirine olan bağımlılığını (tight coupling) ortadan kaldırır.

3. Keycloak vs Auth0 vs Okta: Hangisini Seçmeli?

Doğru IAM çözümünü seçmek bütçenize, veri gizliliği gereksinimlerinize ve sunucu yönetim kapasitenize bağlıdır. İşte sektör liderlerinin karşılaştırması:

4. Docker ile Keycloak Kurulum Adımları

Geliştirme ortamı için Keycloak'ı Docker ile ayağa kaldırmak en hızlı yöntemdir. Terminalinizde şu komutu çalıştırın:

docker run -p 8080:8080 \
  -e KEYCLOAK_ADMIN=admin \
  -e KEYCLOAK_ADMIN_PASSWORD=admin \
  quay.io/keycloak/keycloak:24.0.0 start-dev

1. Tarayıcınızdan http://localhost:8080 adresine gidin ve admin / admin bilgileriyle giriş yapın.
2. Realm Oluşturun: Sol üstteki açılır menüden "Create Realm" diyerek adını myrealm yapın.
3. Client (İstemci) Oluşturun: Menüden "Clients" → "Create Client" adımlarını izleyin. Client ID değerini spring-app yapın ve "Client authentication" seçeneğini AÇIK (ON) konuma getirin.
4. Kullanıcı Oluşturun: "Users" → "Add user" adımından bir kullanıcı ekleyip, "Credentials" sekmesinden şifresini belirleyin.

5. Spring Boot 3.x ile Keycloak Entegrasyonu (Kritik Güncelleme)

Modern ve resmi olarak desteklenen entegrasyon yöntemi şu şekildedir:

Adım 1: Maven Bağımlılıkları (pom.xml)

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>

Adım 2: application.yml Ayarları

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: http://localhost:8080/realms/myrealm

Adım 3: SecurityFilterChain Konfigürasyonu

Eski adapter'ları extend etmek yerine modern fonksiyonel konfigürasyonu kullanmalısınız:

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/public/**").permitAll() // Herkese açık uç noktalar
                .requestMatchers("/swagger-ui/**", "/v3/api-docs/**").permitAll() // Swagger'a izin ver
                .anyRequest().authenticated() // Diğer tüm istekler token gerektirir
            )
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(Customizer.withDefaults())
            );
            
        return http.build();
    }
}

Bu yapı sayesinde Spring Boot, başlattığınızda Keycloak'a bağlanıp açık anahtarları (public keys) otomatik olarak çekecek ve gelen token'ları milisaniyeler içinde kendi içinde doğrulayacaktır.

Sonuç

Özellikle mikroservis mimarileri ve kurumsal ölçekli projeler söz konusu olduğunda Keycloak, ücretsiz olması ve sunduğu devasa esneklikle piyasadaki en güçlü IAM çözümlerinden biridir. Merkezi SSO (Single Sign-On), OAuth2 ve LDAP entegrasyonu sayesinde projelerinizi modern güvenlik standartlarına taşıyabilirsiniz.

Spring Boot entegrasyonlarında ise eski dokümanlardaki tuzaklara düşmemek için spring-boot-starter-oauth2-resource-server kullanmayı ve projenizi modern Spring Security 6 mimarisine uygun tasarlamayı unutmayın.

Kimlik doğrulama kavramlarını daha derinlemesine öğrenmek için şu yazılarımıza göz atabilirsiniz:

• JWT (JSON Web Token) Nedir ve Nasıl Çalışır?
• Access Token ve Refresh Token Farkları