Использование TOTP в keycloak

Question

Я использую keycloak 1.9.1 (докеры, если это имеет значение), и не смогли выяснить, как заставить TOTP работать. Я пробовал его с FreeOTP от android, а также с аутентификатором Google, но все равно не повезло. Я могу указать keycloak для использования TOTP, войти в систему и получить QR-код, отобразить его с помощью своего телефона и получить OTP, но когда я его вхожу, он всегда отклоняется. У кого-нибудь есть эта работа в настоящее время?

Answer 1

Всякий раз, когда я получил «Недопустимый код аутентификатора» Ошибка, я исправил ее, синхронизируя часы моего компьютера с часами моего смартфона. Если ваш компьютер получает время с сервера, а сервер выключен даже через секунды, вы не сможете зарегистрироваться и не использовать TOTP. В этом случае вы можете исправить время, но вы потеряете доступ снова, когда компьютер синхронизируется с сервером.

Если у вас есть перекос между вашим сервером и временем вашего телефона, регистрация TOTP и логин не будут работать, так как код вашего телефона и код сервера не совпадают. Кроме того, вы можете проверить, находятся ли они оба в одном и том же часовом поясе.

Кроме того, вы можете увеличить «Look Ahead Window» в Аутентификация -> Политика OTP (извините, я пока не могу вставлять изображения).

"Look Ahead Window" option

Эта опция дает Keycloak некоторый допуск относительно часы перекос, позволяя ему рассмотреть некоторые встречные будущие коды. Тем не менее, похоже, что этот параметр не позволяет Keycloak смотреть в обратном направлении, поэтому медленные часы смартфонов могут не работать, даже если для «Look Ahead Window» установлено значение max.