Keycloak 新建 realm 与 realm 管理员赋权
记录 identitylab realm 的创建步骤
评论
点赞
收藏Keycloak 环境准备与 admin 多因素登录
记录 的部署形态，给 admin 配置 TOTP 一次性验证码的步骤，登录时强制输入验证码的效果，以及打开 Enable Passkeys 后创建通行密钥并用通行密钥登录的效果
Google Cloud (GCP) Agent Identity 环境准备
按 Google 的 Agent Identity 与 Auth Manager Codelab 在 GCP 上动手实测的第一篇，覆盖实验环境与账号准备、ADK 原型工程搭建、用 LiteLLM 把模型换成自己的 glm 端点、给每次回复追加可与日志核对的运行证据块
基于 AWS AgentCore 的企业级 Agent 的身份体系架构
一次企业 Agent 调用里，用户的登录、企业业务对 Runtime 的调用、Agent 向下游取凭据，这三步让身份与凭据跨过四个信任域；文里以 与 CipherHUB 的实现为例，把每一步的请求样例、出示与换回的凭据、要提前配好的前提都列出来，最后用两张总图并到一处。
为什么 CTR 不能直接取代 XTS 做磁盘与内存加密
从全零明文揭示 CTR 密钥流重用，推导密文异或与已知明文恢复，再用同一组数据验证 XTS 的差异与安全边界
AES XTS 加密模式的原理与使用场景
从扇区重复写入解释 AES-XTS 的双密钥、tweak 与密文窃取，对比 CTR 和 GCM 的随机访问、认证能力及适用场景
AMD SEV-SNP 实例的证明材料与验证过程
从 AWS EC2 实测报告出发，核对 ARK 与 ASVK 到 VLEK 的证书链、报告签名和 TCB，说明挑战值的作用以及启动测量和工作负载身份之间的区别
远程证明的通用模型与 RATS 架构
结合 RFC 9334 原文与 Nitro Enclaves 实验，按信任依据、证据生成、新鲜度、结果评估和会话关联分析远程证明，通过 SVG 与时序图区分模型密钥交付和用户推理通信的保护条件
CBOR 与 DER 编码解析
CBOR 与 DER 编码解析
AWS Nitro Enclave 信任链解析
在一台 m5d.xlarge 上不借助 AWS SDK，用自己写的 Go 代码走完 Nitro Enclave 的完整信任链：验证隔离区的无网与凭据隔离，经 /dev/nsm 的唯一 ioctl 取 attestation 文档，拆解 Decrypt 请求的构成，核对 KMS 的签名验证、证书链校验与 IAM 条件比对，解密 KMS 返回的 CMS 信封；核心发现是 attestation 的信任...
一种敏感文件非明文落盘的设计思路
不依赖硬件信任根实现敏感文件明文不落盘的一种设计思路,沿客户端零留存与每次下载独立加密两条路线推演信道设计与工程取舍
AWS Nitro Enclaves 机密计算原理分析
拆解 AWS Nitro Enclaves 的工作机制：硬件隔离、资源摘除与绑定、PCR 度量的 SHA384 哈希链、attestation 文档的 COSE 签名与三层证书链、KMS 对签名与度量值的验证、key policy 的度量值条件；机密 AI 推理场景里，模型权重与用户会话的明文只存在于隔离区的内存里。讲清楚 Remote Attestation 是如何从密码学 primitive ...
从凭据流转看企业级云端 Agent 系统设计
分析 AWS 的云端 AgentRuntime 设计思路
自建 OIDC 接入腾讯云用户 SSO 登录
给自建 OIDC Provider 补齐腾讯云用户 SSO 控制台登录所需的 Implicit Flow，记录协议差异、Provider 改造、腾讯云配置和子用户端到端登录验证
最小 RP 系统验证 OIDC 授权码 Authorization Code Flow 流程
用一个约 350 行的最小依赖方 relying_party.py 对接自建，贴出 RP 源码与实测终端日志，把 OIDC Authorization Code Flow 在依赖方一侧的每一步拆开：发起授权的三个随机值、授权码兑换的两道客户端认证、id_token 的签名与 claims 校验。
OAuth 授权码流程与 PKCE
以 为 RP、 为 IdP，从 Vault 本地认证逐步推导 Authorization Code、PKCE、OIDC ID Token 与 Vault Token 的职责边界。
为 HashiCorp Vault 构建支持 Web 登录的 OIDC IdP
给原本只支持 M2M 私钥换 JWT 的自建 OIDC Provider 补上 Vault 可调用的 Authorization Code Flow，沿 Vault CLI、浏览器、Vault Server 和 Provider 的真实调用链讲清楚 Loopback 回调、授权码、PKCE 与 nonce 的实现边界。
AWS 中的 ENI 和 VPC Endpoint
从 Lambda 访问 Aurora 和 Secrets Manager 的实际链路出发，解释标准 ENI、公网 IPv4、Lambda Hyperplane ENI、Interface Endpoint、Gateway Endpoint 与 Private DNS 之间的关系。
Lambda 访问 RDS 时的 RDS Proxy 与 IAM Auth
以 Lambda 访问 Aurora 为例，说明 RDS Proxy 处理连接复用，IAM Database Authentication 处理客户端凭证，并记录标准 IAM 模式从网络超时到权限修正的排错过程。
Lambda 接入 VPC 后访问 AWS 服务的出口链路
通过 KMS、Secrets Manager 和 S3 探针说明 Lambda 接入 VPC 后为什么不能依赖公有子网直连 AWS 公共服务，并验证 Regional NAT Gateway 如何恢复 IPv4 出站访问。
Lambda 访问 VPC 内的 Aurora 的配置步骤
记录 Lambda 通过 VPC 访问私有 Aurora 的实测过程，重点说明 Hyperplane ENI、执行角色权限、PyMySQL Layer、连接超时和数据库侧源 IP 验证。
AWS Lambda 使用记录
从 Python 3.13 HelloWorld 出发，说明 Lambda handler 的参数和返回值由谁定义，函数如何接收真实业务事件，以及它与 EC2 和 Fargate 的区别。