Александр Есин

Двухфакторный вход в Keycloak: как работает и где ломается Прошлые посты были про то, откуда берутся данные о пользователе (федерация с AD, Kerberos) и как они попадают в токен. Теперь про второй фактор, потому что я про этот момент в прошлых постах забыл: где он хранится, как включается и почему иногда считается включённым, но не спрашивается. Два слоя, которые постоянно путают Двухфакторный вход в Keycloak — это две разные вещи: - Сценарий входа (Authentication → Flows) — порядок действий: кого спрашивать, что требовать, при каких условиях - Учётные данные пользователя (вкладка Credentia…

Федерация в Keycloak с AD: как это устроено внутри Прошлый пост был про то, что попадает в токен. Этот — про то, откуда данные берутся до этого, и что происходит в момент логина. Потому что федерация — не «настроил и забыл», а конвейер из пяти стадий, и ломается он всегда на одной из них. Две модели, которые постоянно путают Прежде чем разбирать поток нужно развести два разных механизма: - User Federation — AD выступает источником пользователей. Идентичность создаётся там, Keycloak её подтягивает: аутентификация идёт по паролю источника, атрибуты читаются оттуда. - Identity Brokering — AD…

Client scope в Keycloak: что внутри, зачем нужен и как это работает поверх Active Directory После прошлого поста про IdP у многих остались вопросы почему же один сервис одного юзера пускает, а другой не пускает и выдает ошибку. Так что ловите обещанное продолжение. Расскажу про одну из самых важных штук на примере Keycloak, так как сам работаю с ним. Начинаем начинать) Scope чаще всего воспринимают как «галочку в настройках клиента». На деле это главный инструмент управления тем, что вообще попадает в токен. А когда под Keycloak стоит AD — почти все инциденты рождаются на стыке двух миров: ф…

Зомби, которых мы заслужили :-) Посмотрел новую «Обитель зла». Смотрел, честно говоря, со скепсисом: сколько можно поднимать эту франшизу из мёртвых? Шесть фильмов с Йовович, перезапуск, сериал... Сама франшиза живее всех своих зомби, вместе взятых 😁 И вот сюрприз — на этот раз получилось. Креггер, в отличие от Андерсона, не стал зацикливаться на играх RE, а создал свой оригинальный сценарий, в который крайне удачно ввёл «вселенную Обители зла». Другие герои, другой вирус — по сути, авторское кино по мотивам. Кто ждал пересказ знакомого сюжета — тот будет ворчать. Я поворчал минут десять,…

Посылка, паспорт и доверенность: чем аутентификация отличается от авторизации и кто такие IdP Эти два слова путают постоянно: в разговорах, в ТЗ и даже в документации. Звучат похоже, оба про «пустить или не пустить», только означают разное. Если их смешать, получаются дыры в безопасности и долгие споры с разработчиками. Объясню на примере, который знаком каждому. Почта Вы пришли на почту за посылкой. Отстояли очередь (куда без неё) и называете оператору трек-номер или фамилию. Это идентификация: вы сказали, кто вы. Оператор вам на слово не верит и просит паспорт. Сверяет фото с лицом, а Ф…

Занавес Решил начать делиться интересными историями из жизни. Историями с юмором. Вот первая. В совсем юные годы я работал звукооператором в ДК. Навскидку — 2006-й. Обязанностей было «до кучи»: в том числе — принимать механику сцены перед представлением. Пришли мы с осветителем задолго до начала. Он проверял свет, я — звук и подзвучку: в тот вечер шёл спектакль. Накануне у меня был выходной, и в тот день в зале поработал электрик. Я, как обычно, пошёл в техническое помещение и начал прогонять механику с пульта: задник, кулисы и прочее. Последним шёл занавес. Нажал на открытие — из-за кулис…

Папин чемпион Прочитал одну новость и задумался: насколько мы вообще имеем право заставлять детей и близких заниматься тем, чем сами заниматься не хотим. Без имён, но картина типичная. Человек гордится достижениями сына в плавании. Только по всему видно, что сын этим плаванием заниматься не хочет. А отец — или мать — просто доигрывает свою несбывшуюся амбицию. Ребёнок за это платит. Насколько честны такие отношения с детьми? Получается, родители за счёт детей компенсируют собственные недостатки и недоделки юности. Они мечтают, чтобы ребёнок сразу был суперзвездой везде, где не удалось им са…

Пугающие цифры :-) Зашел тут в ВК и обнаружил это) Я много лет уже не являюсь активным пользователем площадки в силу разных причин, но срок регистрации солидный, почти с момента основания. А если учесть, что первое время в ВК была регистрация по инвайтам, то вообще огромный. И, вообще, верните стену 😁 Срочно верните, и уберите эти ваши "граффити". https://esin48.ru/blog/post.php?post=2026-10-10-pugayushchie-tsifry #личное #Интернет #соцсети

Immich - альтернатива Google Photos Фото на телефоне заканчиваются одинаково: память кончается, облако просит подписку, а «просто посмотреть семейный архив» превращается в передачу личных данных третьей стороне. Immich — self-hosted система хранения и каталогизации фото и видео. Ваше оборудование, ваш сервер, ваши правила. По ощущению — та же облачная галерея, только поиск по лицам и сценам считается дома, а не на чужой машине. Ветка на момент написания — 3.x. Ставил 3.2.4 поверх 3.1. Как это устроено Immich — не один контейнер, а четыре. Лучше знать это до первой поломки: - immich-server…

Точка подтверждения переехала в салун 23 сентября подписано постановление: подтвердить учётную запись на портале «Госуслуги» теперь можно в салонах операторов связи. Раньше для этого были банки, МФЦ и другие организации, которым такая услуга уже разрешена. Логика нововведения понятна и в целом правильная. Немало населённых пунктов, где ближайший МФЦ за сотню километров, а банк с такой услугой — раз в неделю на автобусе. Подтверждённая запись нужна человеку за справкой, пособием, записью ребёнка в школу. Облегчить путь — не вредно. Теперь то, из-за чего я отношусь к этому негативно. Подтвер…