# Ambiente di test ed integrazione CIE - Keycloak - OIDC **URL:** \ **Category:** CIE\ **Created:** [2 Maggio 2023, 1:15pm UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490 "2023-05-02T13:15:40Z")\ **Posts on this page:** 20\ **Page:** 3
**Author:** ![GiP](https://forum.italia.it/letter_avatar_proxy/v4/letter/g/65b543/32.png) [@GiP](https://forum.italia.it/u/GiP)\ **Post date:** [19 Aprile 2024, 6:12pm UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/42 "2024-04-19T18:12:40Z")
Grazie, la risposta e’ chiara, Resta solo una domanda aperta. In teoria possiamo usare “n” chiavi e sistemi di crittografia, uno sovrapposto all’altro, e avere una comunicazione che a tutti gli effetti, vista da un esterno, sono dati random, indecifrabili. Il guaio e’ che nei sistemi complessi e’ sufficiente che un microdettaglio non funzioni, e si blocca tutto. Non a caso questo Forum abbonda di commenti sull’incompatiblita’ di un certo lettore con un SW con un hardware ecc. Domanda - dove passa il confine, e chi lo decide, del compromesso tra sicurezza, semplicita’, praticita’ d’uso? Altrimenti abbiamo una sicurissima CIE ma troppo spesso e’ la stessa PA a chiedere di inviare email con fotocopia dei documenti di identita’ perche’ la CIE non funziona. Quando a sicurezza, una follia, ma almeno si ottiene il servizio desiderato. E se anche il KGB impara che domani faccio l’esame del sangue, so what? Che lo impari! Da anni nuove direttive UE sulla sicurezza impongono 2FA, impronte, procedure extra per la verifica dei conti bancari ecc. Ebbene, il rapporto della BCE sugli abusi online rivelava che questi erano una minuscola parte in relazione ai costi infrastrutturali per aumentare la sicurezza. Inoltre, che quasi tutti gli abusi avevano luogo tramite phishing e non inserendosi sui canali di comunicazione tra utente e banca. Personalmente preferirei pagare 0.042% in piu’ a transazione (entita’ complessiva degli abusi nel 2015, prima di 2FA) piuttosto che diversi EUR per finanziare l’infrastruttura. Ma non ho scelta, la banca impone di continuo nuove procedure. ---
**Author:** ![cfranc0](https://forum.italia.it/user_avatar/forum.italia.it/cfranc0/32/10165_2.png) [@cfranc0](https://forum.italia.it/u/cfranc0)\ **Post date:** [19 Aprile 2024, 6:48pm UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/43 "2024-04-19T18:48:58Z")
Quella che viene sollevata qui è forse la cosa più frustrante della crittografia: o va tutto o non va niente, vedendo solo i dati finali non è possibile sapere se abbiamo già fatto il 99% del lavoro o solo il 10%. Anche qui, personalissimo parere, per evitare questi grattacapi è necessario avere a disposizione della documentazione completa e dettagliata, che possa indirizzarci correttamente verso la soluzione. Bisogna riuscire a trovare un punto d’incontro tra le esigenze specifiche (in questo caso di CIE) e la facilità di integrazione. Usando protocolli pubblici è sicuramente una parte del puzzle, visto che esistono soluzioni e librerie che sollevano chi deve integrarli in sistemi più complessi dal doversi studiare le specifiche. Ovviamente non è mai possibile accontentare tutti e sicuramente si saranno sempre dei casi specifici in cui sarà necessario più lavoro per integrarsi. Un buono studio iniziale della soluzione necessaria, magari prendendo in considerazione dove potrebbe doversi espandere in futuro, fa un grande differenza. ---
**Author:** ![Stefano788](https://forum.italia.it/user_avatar/forum.italia.it/stefano788/32/12989_2.png) [@Stefano788](https://forum.italia.it/u/Stefano788)\ **Post date:** [22 Aprile 2024, 2:38pm UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/44 "2024-04-22T14:38:59Z")
Grazie per la risposta, abbiamo riportato le tue indicazioni ma ci ritorna ancora lo stesso errore, essendo il documento di federazione simile al tuo ed a altri già federati sospettiamo esserci un problema sulle chiavi di firma. Potresti indicarci come le hai generate per favore? ---
**Author:** ![cfranc0](https://forum.italia.it/user_avatar/forum.italia.it/cfranc0/32/10165_2.png) [@cfranc0](https://forum.italia.it/u/cfranc0)\ **Post date:** [22 Aprile 2024, 3:30pm UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/45 "2024-04-22T15:30:23Z")
Se non ricordo male con openssl, senza particolari configurazioni. Ho quindi esportato chiave privata e certificato in formato PEM e utilizzando questo codice in node: ```javascript { kty: "RSA", use: "sig", n: key.public.n, e: key.public.e, kid: this.getKeyID(use), // Key ID x5c: [key.cert.raw.toString("base64")], x5t: crypto.createHash("sha1").update(key.cert.raw).digest("base64url"), } ``` dove key è un oggetto che contiene ```javascript { cert: new crypto.X509Certificate(key.cert), public: crypto.createPublicKey({ key: key.cert, format: "pem", type: "spki" }).export({ format: "jwk" }), private: crypto.createPrivateKey(key.private), } ``` Noi siamo riusciti a registrarci sul portale, ma non ci è possibile testare l’implementazione in pre-produzione per un errore generico dopo aver inviato la richiesta. Non ho ancora avuto modo di darci un occhio, ma potrebbe anche aver qualcosa a che fare con la restrizione (arbitraria, a mio parere) di limitare gli accessi solo all’Italia. ---
**Author:** ![glauco](https://forum.italia.it/letter_avatar_proxy/v4/letter/g/5daacb/32.png) [@glauco](https://forum.italia.it/u/glauco)\ **Post date:** [23 Aprile 2024, 7:43am UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/46 "2024-04-23T07:43:21Z")
Ciao @Stefano788 potresti passarmi il link alla tua EC cosi’ la controllo? ---
**Author:** ![Stefano788](https://forum.italia.it/user_avatar/forum.italia.it/stefano788/32/12989_2.png) [@Stefano788](https://forum.italia.it/u/Stefano788)\ **Post date:** [23 Aprile 2024, 11:46am UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/47 "2024-04-23T11:46:15Z")
Ciao @glauco l’url della mia EC è il seguente: [https://ssotest.provincia.cs.it/oidc/rp/.well-known/openid-federation?format=json](https://ssotest.provincia.cs.it/oidc/rp/.well-known/openid-federation?format=json) Ora ho provato a rigenerare la chiave di federazione con le indicazioni del post precedente partendo da certificato e chiave pubblica generati tramite questo tool [GitHub - italia/spid-compliant-certificates-python: Python native solution to generate and validate X.509 certificates according to Avviso SPID n.29 v3.](https://github.com/italia/spid-compliant-certificates-python) ma mi torna sempre lo stesso errore. Grazie! ---
**Author:** ![glauco](https://forum.italia.it/letter_avatar_proxy/v4/letter/g/5daacb/32.png) [@glauco](https://forum.italia.it/u/glauco)\ **Post date:** [23 Aprile 2024, 12:05pm UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/48 "2024-04-23T12:05:28Z")
Stai usando la versione 1.0.0 di spid-cie-oidc-java? Ti ho messo a disposizione l’app di esempio gia’ federata in preprod, puoi confrontare le EC [https://rp-java.comune.preganziol.tv.it](https://rp-java.comune.preganziol.tv.it) Nel [README.md](https://github.com/italia/spid-cie-oidc-java/blob/main/examples/relying-party-spring-boot/README.md) della webapp avevo messo qualche suggerimento per passare l’onboarding. Detto questo, elimina i claims x5c e x5t dalla chiave di federazione, per esperienza diretta posso dirti che genera errore durante l’onboarding 😄 ---
**Author:** ![Stefano788](https://forum.italia.it/user_avatar/forum.italia.it/stefano788/32/12989_2.png) [@Stefano788](https://forum.italia.it/u/Stefano788)\ **Post date:** [23 Aprile 2024, 12:13pm UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/49 "2024-04-23T12:13:50Z")
Esatto sto usando quella libreria, avevo letto il README e fatto un pò di prove, il claim x5c l’ho aggiunto ultimamente nella speranza di risolvere l’errore. Ora lo rimuovo e contronto con quello che mi hai indacato. Grazie mille! ---
**Author:** ![glauco](https://forum.italia.it/letter_avatar_proxy/v4/letter/g/5daacb/32.png) [@glauco](https://forum.italia.it/u/glauco)\ **Post date:** [23 Aprile 2024, 12:15pm UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/50 "2024-04-23T12:15:19Z")
Di nulla, ancora una cosa, nel caso: la mail dei claim contacts deve corrispondere all’indirizzo mail dell’Ente nella pratica amministrativa, non usare quella del referente tecnico. Nel caso vieni in slack e possiamo chattare piu’ agevolmente ---
**Author:** ![glauco](https://forum.italia.it/letter_avatar_proxy/v4/letter/g/5daacb/32.png) [@glauco](https://forum.italia.it/u/glauco)\ **Post date:** [23 Aprile 2024, 12:45pm UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/51 "2024-04-23T12:45:13Z")
Da ultimo noto che il claim `iat` è avanti di un’ora, lancia l’app con la flag per forzare la timezone: `mvn clean spring-boot:run -Dspring-boot.run.jvmArguments="-Duser.timezone=UTC"` ---
**Author:** ![swpFra](https://forum.italia.it/letter_avatar_proxy/v4/letter/s/41988e/32.png) [@swpFra](https://forum.italia.it/u/swpFra)\ **Post date:** [24 Aprile 2024, 8:05am UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/52 "2024-04-24T08:05:47Z")
Ciao, scusa se ti scrivo, ma una volta che nel portale del CIE c’è scritto che la componente tecnica è federata e ti arriva anche la mail, quali sono i prossimi passI? cioè significa che i miei clienti ora possono usare la CIE? oppure hanno anche un portale per fare i test? io non sapendo ne leggere ne scrivere ho abilitato una componente di pre produzione ed una di produzione ---
**Author:** ![glauco](https://forum.italia.it/letter_avatar_proxy/v4/letter/g/5daacb/32.png) [@glauco](https://forum.italia.it/u/glauco)\ **Post date:** [24 Aprile 2024, 9:27am UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/53 "2024-04-24T09:27:37Z")
Ciao @swpFra ora puoi ricavare il tuo Trust Mark (ad esempio in preprod da questo link: `https://preprod.oidc.registry.servizicie.interno.gov.it/resolve?sub=&anchor=https://preprod.oidc.registry.servizicie.interno.gov.it`) e lo inserisci nell’EC. Dopo questo passaggio tenti il ciclo di login/logoff in preproduzione, usando la CIE di test (se l’hai richiesta), oppure una CIE, unitamente all’app Cie ID di test, [tieni presente che, a prescindere dalle `acr_values` settate, il livello di auth in preproduzione e’ sempre SpidL3, quindi obbligo di NFC]. Ti consiglio di evitare l’ambiente di produzione per fare le prove di login, i due ambienti sono praticamente identici, quindi se non va in preproduzione c’e’ qualche errore da risolvere nell’auth request. Quando tutto va a buon fine, puoi permettere l’uso del login con CIE OIDC ai tuoi utenti. ---
**Author:** ![swpFra](https://forum.italia.it/letter_avatar_proxy/v4/letter/s/41988e/32.png) [@swpFra](https://forum.italia.it/u/swpFra)\ **Post date:** [24 Aprile 2024, 9:47am UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/54 "2024-04-24T09:47:36Z")
> [@glauco](#): > > `https://preprod.oidc.registry.servizicie.interno.gov.it/resolve?sub=&anchor=https://preprod.oidc.registry.servizicie.interno.gov.it` grazie mille @glauco ! si le tessere di test me le hanno inviate, ora l’unica cosa che non ho ben capito qual’è l’url a cui inviare l’authrequest quando clicco sul bottone “Entra con CIE”? per esempio: " [https://spcie.servizicie.interno.gov.it/sp](https://spcie.servizicie.interno.gov.it/sp)" ? ---
**Author:** ![glauco](https://forum.italia.it/letter_avatar_proxy/v4/letter/g/5daacb/32.png) [@glauco](https://forum.italia.it/u/glauco)\ **Post date:** [24 Aprile 2024, 10:03am UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/55 "2024-04-24T10:03:11Z")
Devi ricavare l’auth endpoint dalla Entity configuration dell’Openid Provider, in questo caso l’OP e’: [https://preproduzione.oidc.idserver.servizicie.interno.gov.it](https://preproduzione.oidc.idserver.servizicie.interno.gov.it) e l’url di auth e’ [https://preproduzione.oidc.idserver.servizicie.interno.gov.it/idp/profile/oidc/authorize](https://preproduzione.oidc.idserver.servizicie.interno.gov.it/idp/profile/oidc/authorize) Cmq di questi passaggi di solito si occupa il software, per curiosita’ quale stai utilizzando? ---
**Author:** ![seifeddine](https://forum.italia.it/letter_avatar_proxy/v4/letter/s/b5ac83/32.png) [@seifeddine](https://forum.italia.it/u/seifeddine)\ **Post date:** [29 Aprile 2024, 8:20am UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/57 "2024-04-29T08:20:51Z")
Salve a tutti! Ma qualcuno è riuscito a integrare il CIE con Keycloak? ---
**Author:** ![glauco](https://forum.italia.it/letter_avatar_proxy/v4/letter/g/5daacb/32.png) [@glauco](https://forum.italia.it/u/glauco)\ **Post date:** [29 Aprile 2024, 10:06am UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/59 "2024-04-29T10:06:12Z")
Ciao @swpFra, così a prima vista: - `acr_values` vanno messe in ordine decrescente. - `aud` e’ un array che dovrebbe includere anche l’auth endpoint `https://preproduzione.oidc.idserver.servizicie.interno.gov.it/idp/profile/oidc/authorize.` Se mi dessi l’url di login potrei fare altre verifiche. ---
**Author:** ![glauco](https://forum.italia.it/letter_avatar_proxy/v4/letter/g/5daacb/32.png) [@glauco](https://forum.italia.it/u/glauco)\ **Post date:** [29 Aprile 2024, 3:27pm UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/61 "2024-04-29T15:27:16Z")
@swpFra ti do una mano volentieri, in questi mesi ho avuto modo di aiutare molti colleghi su questi temi. Mandami in privato l’url di login e vedo di capire quale sia il problema con i miei strumenti di analisi. ---
**Author:** ![nicolabeghin](https://forum.italia.it/user_avatar/forum.italia.it/nicolabeghin/32/6389_2.png) [@nicolabeghin](https://forum.italia.it/u/nicolabeghin)\ **Post date:** [23 Maggio 2024, 1:58pm UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/62 "2024-05-23T13:58:22Z")
@glauco riesci per caso a condividere qualche screenshot/indicazione su come sei riuscito ad utilizzare Keycloak con SPID OIDC? grazie! ---
**Author:** ![glauco](https://forum.italia.it/letter_avatar_proxy/v4/letter/g/5daacb/32.png) [@glauco](https://forum.italia.it/u/glauco)\ **Post date:** [5 Giugno 2024, 12:02pm UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/63 "2024-06-05T12:02:22Z")
Chiedo venia, ho letto ora il messaggio… Dove lavoro non usiamo Keycloak in produzione, avevo solo fatto qualche test l’anno scorso con una versione precedente compatibile con un plugin per oidc-fed v.16. Mi sono ripromesso di provare con l’ultima versione, ma siamo sotto elezioni e non ancora avuto modo di farlo. Spero di darti informazioni tra qualche settimana. ---
**Author:** ![stis](https://forum.italia.it/letter_avatar_proxy/v4/letter/s/94ad74/32.png) [@stis](https://forum.italia.it/u/stis)\ **Post date:** [6 Agosto 2024, 9:29am UTC](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490/66 "2024-08-06T09:29:18Z")
Buongiorno @swpFra, scusa il disturbo, ti scrivo perché abbiamo un problema analogo a quanto hai segnalato nel post del 29 aprile scorso in merito all’errore “Non è possibile procedere. La sessione non è piu’ valida. E’ necessario eseguire una nuova autenticazione.” Anche noi abbiamo eseguito con successo la procedura di federazione OIDC in pre-produzione ma nella fase di test del client riceviamo questa segnalazione e non riusciamo a sbloccare la situazione. Comprendo che è passato qualche mese, ma se hai risolto forse cortesemente puoi fornirmi qualche indicazione. Ti ringrazio anticipatamente. [Pagina precedente](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490.md?page=2) [Pagina seguente](https://forum.italia.it/t/ambiente-di-test-ed-integrazione-cie-keycloak-oidc/34490.md?page=4)