Okivo in Keycloak einrichten

Konto und Realm anlegen

Registriere dich und lege im Portal unter Realms einen Eintrag für jeden Keycloak-Realm an, der Okivo nutzen soll. Vor dem ersten Realm richtest du Okivo für dein eigenes Portal-Konto ein. Danach bekommst du drei Werte: Relay Base URL, Tenant ID und Tenant API Key.

Plugin installieren

Lege die Plugin-Datei push-mfa.jar in den providers-Ordner deiner Keycloak-Installation. Danach muss Keycloak einmal neu gebaut werden. Die Datei bekommst du derzeit von uns per E-Mail: support@okivo.app.

# JAR in den providers-Ordner kopieren
cp push-mfa.jar /opt/keycloak/providers/

# Keycloak neu bauen und starten
/opt/keycloak/bin/kc.sh build
/opt/keycloak/bin/kc.sh start --optimized

Mit Docker oder Podman baust du am besten ein eigenes Image:

FROM quay.io/keycloak/keycloak:26.7 AS builder
COPY push-mfa.jar /opt/keycloak/providers/
RUN /opt/keycloak/bin/kc.sh build

FROM quay.io/keycloak/keycloak:26.7
COPY --from=builder /opt/keycloak/ /opt/keycloak/

Authenticator in den Login-Flow setzen

In der Admin-Konsole des Realms, in dem sich deine Nutzer anmelden, unter Authentication → Flows den Browser-Flow duplizieren, zum Beispiel als browser-okivo. Den Schritt Push MFA innerhalb des Unter-Flows „forms“ hinzufügen, direkt unter „Username Password Form“, und auf Required stellen. Die Aktion push-mfa unter Required actions, über die Nutzer ihr Gerät einrichten, legt das Plugin bei der ersten Anmeldung selbst an; hast du sie dort deaktiviert, schalte sie wieder ein. Danach den neuen Flow mit Bind flow als Browser-Flow festlegen.

Zugangsdaten eintragen

Am Schritt Push MFA über das Zahnrad die drei Werte aus dem Portal eintragen. Den API-Key legst du am besten im Keycloak-Vault ab und verweist nur darauf:

# Dateiname: <realm>_<schlüssel>, hier für den Realm „firma“
echo -n 'pmfa_…' > /opt/keycloak/vault/firma_push-mfa-apikey
chmod 600 /opt/keycloak/vault/firma_push-mfa-apikey

# Keycloak mit Datei-Vault starten
kc.sh start --vault=file --vault-dir=/opt/keycloak/vault

Im Feld Tenant API Key steht dann nur ${vault.push-mfa-apikey}.

Ersten Nutzer einrichten

Melde dich mit einem Testkonto im Realm an. Keycloak zeigt einen QR-Code; scanne ihn mit der Okivo-App. Bei der nächsten Anmeldung kommt der erste Push. Im Portal steht der Nutzer danach in der Auslastung.