Problème d'intégration Alfresco / Keycloak / OnlyOffice – Exclusion de routes WebScript de la sécuri

Abra — Tue, 20 May 2025 15:55:00 GMT

Bonsoirà tous,

Je travaille actuellement sur une intégration entre Alfresco Community Edition, Keycloak via l’add-on Acosix/alfresco-keycloak, et OnlyOffice (avec son module AMP onlyoffice-alfresco pour l’édition collaborative des documents).

Alfresco est sécurisé avec Keycloak via le module Acosix.
OnlyOffice est intégré via AMP et expose ses WebScripts sous le chemin/alfresco/s/parashift/onlyoffice/....
Jusqu’ici, OnlyOffice fonctionnait avec JWT_ENABLED=false, ce qui permettait à OnlyOffice de dialoguer avec Alfresco sans vérification de jetons.
Désormais, pour des raisons de sécurité, je souhaite activer JWT_ENABLED=true côté OnlyOffice, afin de sécuriser les communications entre OnlyOffice et Alfresco.

Une fois JWT_ENABLED=true activé dans la configuration OnlyOffice, celui-ci envoie systématiquement un en-tête Authorization: Bearer <token> lors de ses appels HTTP vers Alfresco.

Or, comme Alfresco est sécurisé via Acosix Keycloak, la présence d’un header Authorization déclenche la tentative de validation du token par le système Keycloak, qui échoue puisque le token JWT généré par OnlyOffice ne correspond pas aux clés ou à l’algorithme attendus par Keycloak. Résultat :

Exception from executeScript: JWT verification failed! Signed JWT rejected: Another algorithm expected, or no matching key(s) found

Je cherche à exclure les routes WebScript /alfresco/s/parashift/onlyoffice/.* du filtre de sécurité de Keycloak, de manière à ce qu’elles restent accessibles librement par OnlyOffice, même en présence d’un header Authorization.

Concrètement :

Je ne souhaite pas que Keycloak vérifie les JWT sur ces endpoints spécifiques.
Je voudrais que ces appels soient "whitelistés" ou laissés tels quels sans authentification, même si un header Authorization est présent.

Ce que j’ai déja tenté :

Modifier les configurations du module Acosix, mais je n’ai pas trouvé d’option permettant d’exclure des WebScripts spécifiques ou des chemins REST de la vérification Keycloak.
Rechercher dans la documentation si le filtre Keycloak du module Acosix propose une exclusion via pattern ou mapping des URL (/alfresco/s/...), mais sans succès jusqu’à présent.

Question :

Comment puis-je configurer Alfresco avec Acosix Keycloak pour que les WebScripts de OnlyOffice (sous /alfresco/s/parashift/onlyoffice/) soient exemptés de la vérification Keycloak ?
Y a-t-il une manière propre (filtre, config XML, override Java, etc.) de bypasser la sécurité sur ces routes spécifiques, même lorsqu’un header Authorization est présent ?

Merci d’avance pour toute aide ou piste 🙏

Re: Problème d'intégration Alfresco / Keycloak / OnlyOffice – Exclusion de routes WebScript de la sé

AlfrescoZZZ — Wed, 02 Jul 2025 11:34:58 GMT

Can you try to add these global properties and tell me tif you see any error on the console ?

-Dkeycloak.authentication.silentRemoteUserValidationFailure=false
-Dkeycloak.adapter.verify-token-audience=false
-Dkeycloak.adapter.autodetect-bearer-only=true

topic Problème d'intégration Alfresco / Keycloak / OnlyOffice – Exclusion de routes WebScript de la sécuri in Alfresco Forum

Problème d'intégration Alfresco / Keycloak / OnlyOffice – Exclusion de routes WebScript de la sécuri

Ce que j’ai déja tenté :

Question :

Re: Problème d'intégration Alfresco / Keycloak / OnlyOffice – Exclusion de routes WebScript de la sé