配置Keycloak与AD服务器之间的时差（SAML）

Question

我无法控制提供 SAML 断言的 AD 身份验证服务器。 AD服务器的时间经常会偏差几秒。

来自Keycloak的日志：

16:08:33,713 DEBUG [org.keycloak.saml.validators.ConditionsValidator] (default task-5) Evaluating Conditions of Assertion _1468eee4-406b-4fd8-8743-b60c5df535b6. notBefore=2019-07-02T20:08:37.322Z, notOnOrAfter=2019-07-02T21:08:37.322Z

注意 AD notBefore 时间是在 Keycloak 的登录时间之后 4 秒。

是否有 Keycloak 设置可以提供可接受的时间漂移？

Answer 1

Keycloak 正在添加一个功能以允许时钟偏差（它只是那里）。从您的问题陈述中尚不清楚此 Keycloak 更改是否能完全解决您的问题，但请尝试一下。

Answer 2

我最近遇到了超时问题，尽管 keycloak 和 ntp 是同步的。通过增加 keycloak 内时间偏差的容忍度，它解决了问题。