DNET_Keycloak

Keycloak

戻る

概要

メジャーな、OSSの、OAuth2 / OIDC の IdP / STS。
この分野のソフトウェアとしては最も勢いのあるソフトウェア

詳細

機能

割愛、コノ辺を見て。

使い方

取り敢えず、探すと、コチラのような情報がある。

色々と検討しましたが、tosierさんのDocker コンポーズが動かなかったので、
他のお二方のDocker コマンドを
Docker コンポーズに組み込んでいくような感じにしました。

起動

例

Docker コマンド
簡単なメモリストア

例１

$ docker run -d -p 8080:8080 --network oidc-network -e KEYCLOAK_USER=admin -e KEYCLOAK_PASSWORD=password --name keycloak jboss/keycloak

例２

docker run -d -p 18080:8080 -e KEYCLOAK_USER=admin -e KEYCLOAK_PASSWORD=admin --name keycloak jboss/keycloak

Docker コンポーズ

例１
DBMSストア（mariadb）

version: "2"

services:
...

# KeyCloak
  keycloak:
    image: jboss/keycloak:3.4.0.Final
    restart: always
    volumes_from:
      - keycloak-data
    links:
      - keycloak-mariadb
    expose:
      - "8080"
    environment:
      KEYCLOAK_USER: admin
      KEYCLOAK_PASSWORD: admin
      PROXY_ADDRESS_FORWARDING: "true"

...

参考：https://github.com/tosier/keycloak-mariadb-dc

自作

docker-compose.yml
簡単なメモリストア

version: '3.4'

services:
  keycloak:
    image: jboss/keycloak:latest
    restart: always
    ports:
      - "8888:8080"
    environment:
      KEYCLOAK_USER: xxx
      KEYCLOAK_PASSWORD: yyy

起動
おなじみの。

>docker-compose up -d
Creating network "keycloak_default" with the default driver
Pulling keycloak (jboss/keycloak:latest)...
latest: Pulling from jboss/keycloak
e96e3a1df3b2: Pull complete
1b99828eddf5: Pull complete
6298f612e428: Pull complete
0d7d3759e7ca: Pull complete
6c0c91dde365: Pull complete
Digest: sha256:bb12fd9de6754e20e0021d3ff75e2f5fc0e3544a853cadd3c7fbe7373a80d139
Status: Downloaded newer image for jboss/keycloak:latest
Creating keycloak_keycloak_1 ... done

アクセス
http://localhost:8888/

把握

管理コンソール
http://localhost:8888/auth/admin/

メタデータ

.well-known/openid-configuration
http://localhost:8888/auth/realms/master/.well-known/openid-configuration

{
    "issuer": "http://localhost:8888/auth/realms/master",
    "authorization_endpoint": "http://localhost:8888/auth/realms/master/protocol/openid-connect/auth",
    "token_endpoint": "http://localhost:8888/auth/realms/master/protocol/openid-connect/token",
    "token_introspection_endpoint": "http://localhost:8888/auth/realms/master/protocol/openid-connect/token/introspect",
    "userinfo_endpoint": "http://localhost:8888/auth/realms/master/protocol/openid-connect/userinfo",
    "end_session_endpoint": "http://localhost:8888/auth/realms/master/protocol/openid-connect/logout",
    "jwks_uri": "http://localhost:8888/auth/realms/master/protocol/openid-connect/certs",
    "check_session_iframe": "http://localhost:8888/auth/realms/master/protocol/openid-connect/login-status-iframe.html",
    "grant_types_supported": [
        "authorization_code",
        "implicit",
        "refresh_token",
        "password",
        "client_credentials"
    ],
    "response_types_supported": [
        "code",
        "none",
        "id_token",
        "token",
        "id_token token",
        "code id_token",
        "code token",
        "code id_token token"
    ],
    "subject_types_supported": [
        "public",
        "pairwise"
    ],
    "id_token_signing_alg_values_supported": [
        "PS384", "ES384", "RS384", "HS256", "HS512", "ES256",
        "RS256", "HS384", "ES512", "PS256", "PS512", "RS512"
    ],
    "id_token_encryption_alg_values_supported": [
        "RSA-OAEP",
        "RSA1_5"
    ],
    "id_token_encryption_enc_values_supported": [
        "A128GCM",
        "A128CBC-HS256"
    ],
    "userinfo_signing_alg_values_supported": [
        "PS384", "ES384", "RS384", "HS256", "HS512", "ES256",
        "RS256", "HS384", "ES512", "PS256", "PS512", "RS512", "none"
    ],
    "request_object_signing_alg_values_supported": [
        "PS384", "ES384", "RS384", "HS256", "HS512", "ES256",
        "RS256", "HS384", "ES512", "PS256", "PS512", "RS512", "none"
    ],
    "response_modes_supported": [
        "query",
        "fragment",
        "form_post"
    ],
    "registration_endpoint": "http://localhost:8888/auth/realms/master/clients-registrations/openid-connect",
    "token_endpoint_auth_methods_supported": [
        "private_key_jwt",
        "client_secret_basic",
        "client_secret_post",
        "tls_client_auth",
        "client_secret_jwt"
    ],
    "token_endpoint_auth_signing_alg_values_supported": [
        "PS384", "ES384", "RS384", "HS256", "HS512", "ES256",
        "RS256", "HS384", "ES512", "PS256", "PS512", "RS512"
    ],
    "claims_supported": [
        "aud", "sub", "iss", "auth_time", "name", "given_name",
        "family_name", "preferred_username", "email", "acr"
    ],
    "claim_types_supported": [
        "normal"
    ],
    "claims_parameter_supported": false,
    "scopes_supported": [
        "openid", "address", "email", "microprofile-jwt",
        "offline_access", "phone", "profile", "roles", "web-origins"
    ],
    "request_parameter_supported": true,
    "request_uri_parameter_supported": true,
    "code_challenge_methods_supported": [
        "plain",
        "S256"
    ],
    "tls_client_certificate_bound_access_tokens": true,
    "introspection_endpoint": "http://localhost:8888/auth/realms/master/protocol/openid-connect/token/introspect"
}

jwks_uri
http://localhost:8888/auth/realms/master/protocol/openid-connect/certs

{
    "keys": [
        {
            "kid": "rJi_COdJ0jzDRkMrFUA2YA6YdRKLFWnvjXXuiCDNY_Q",
            "kty": "RSA",
            "alg": "RS256",
            "use": "sig",
            "n": "hCnz-ZtjIjfaL_wkOWhdo58UN1ap_bRxFxRnYrJ4pDMbxINhGLN8CUNlWLIwaydjMmbtsjSuJHkmf8TmFJadFu28fcKK8CiDm5kEEu8FeqMuZIQ_36BYQeiljBvuZeIIiLMkUcBfOSS0Qx79GPSek5OucpM7mZAF6A1OrQW9Tm7oN-v8Rrbz2nvTh7_WqWWrcKR4y2SZsC3UXDZsmK9Fz_lVdNBc-iRbU5ylv82WHawZlMUYY4BFsMtSZcRWOXvZQlCjxRP59xaJOlo-oST4wAVHQxuW-078AmcizlNHkdG-3w2Y3qthTD_ffXpbeDRNz3a2ktCITVGtK70uqiyWuQ",
            "e": "AQAB",
            "x5c": [ "MIICmzCCAYMCBgFyxiN00TANBgkq ...（中略）... qUgpANh6winILHi9HmQR214el2Y9oYWaCjzCj59D4s+5CCIUd762QfpLxqVqbRE=" ],
            "x5t": "fKVUd7VAVPxaQrL-MITaklh33v0",
            "x5t#S256": "NP-fHl97wx77ZMHX9cvHjbr61R9N0ud2FG95WpYPolo"
        }
    ]
}

SAML > IDPSSODescriptor
http://localhost:8888/auth/realms/master/protocol/saml/descriptor

<EntitiesDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:dsig="http://www.w3.org/2000/09/xmldsig#" Name="urn:keycloak">
  <EntityDescriptor entityID="http://localhost:8888/auth/realms/master">
    <IDPSSODescriptor WantAuthnRequestsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
      <KeyDescriptor use="signing">
        <dsig:KeyInfo>
        <dsig:KeyName>rJi_COdJ0jzDRkMrFUA2YA6YdRKLFWnvjXXuiCDNY_Q</dsig:KeyName>
        <dsig:X509Data>
        <dsig:X509Certificate>MIICmzCCAYMCBgFyxiN00TANBgkq ...（中略）... qUgpANh6winILHi9HmQR214el2Y9oYWaCjzCj59D4s+5CCIUd762QfpLxqVqbRE=</dsig:X509Certificate>
        </dsig:X509Data>
        </dsig:KeyInfo>
      </KeyDescriptor>
      <SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="http://localhost:8888/auth/realms/master/protocol/saml"/>
      <SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="http://localhost:8888/auth/realms/master/protocol/saml"/>
      <NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:persistent</NameIDFormat>
      <NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</NameIDFormat>
      <NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified</NameIDFormat>
      <NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</NameIDFormat>
      <SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="http://localhost:8888/auth/realms/master/protocol/saml"/>
      <SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="http://localhost:8888/auth/realms/master/protocol/saml"/>
      <SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:SOAP" Location="http://localhost:8888/auth/realms/master/protocol/saml"/>
    </IDPSSODescriptor>
  </EntityDescriptor>
</EntitiesDescriptor>

操作

参考：用語（クレームベース認証の該当節を参照）

Client, RP (Relying Party)の登録
- 左メニューの「Clients」をクリック
  http://localhost:8888/auth/admin/master/console/#/realms/master/clients
- 右の方にある「Create」をクリック
- 「Client ID」を入力して、「Save」をクリック
- 「Access Type」を以下の様に変更
  - 「public」（スマホ・アプリの意味）
  - 「confidential」（Webアプリの意味）
- 「Valid Redirect URIs」にスマホ・アプリ / Webアプリ
  のリダイレクトURLを入力して「Save」をクリック
- 「Access Type」に
  - 「confidential」を選択した場合、
    「Credentials」のタブをクリックして、
    「Secret」に表示されている文字列をメモ
  - 「public」を選択した場合、
    「Web Origins」にCORSで許可するURIを入力
Userアカウント (Resource Owner) の登録
- 左メニューの「User」をクリック
  http://localhost:8888/auth/admin/master/console/#/realms/master/users
- 右の方にある「Add user」をクリック
- 「Username」を入力して、「Save」をクリック
- 「Credentials」のタブをクリックし「Password」に任意のパスワードを入力
- 「Temporary」のスイッチを「OFF」（初回パスワード変更が不要になる）

連携

コンパチ (1)

MVC_Sampleと連携させてみる。

汎用認証サイトのMVC_Sampleの設定を
Keycloakに登録する（MVC_Sampleは confidential client）

"f53469c17c5a432f86ce563b7805ab89": {
  "client_secret": "cKdwJb6mRKVIJpGxEWjIC94zquQltw_ECfO-55p21YM",
  "redirect_uri_code": "http://localhost:58496/Home/OAuth2AuthorizationCodeGrantClient",
  "redirect_uri_token": "hogehoge0",
  "client_name": "MVC_Sample"
},

MVC_Sampleの設定を、
汎用認証サイト → Keycloakに変更する。

AS-IS

// OAuth2, OIDC認証
"SpRp_Isser": "https://ssoauth.opentouryo.com",
"OAuth2AndOidcClientID": "f53469c17c5a432f86ce563b7805ab89",
"OAuth2AndOidcSecret": "cKdwJb6mRKVIJpGxEWjIC94zquQltw_ECfO-55p21YM",
"SpRp_RsaCerFilePath": "C:\root\files\resource\X509\SHA256RSA_Server.cer",
"JwkSetUri": "https://localhost:44300/MultiPurposeAuthSite/jwkcerts/",

TO-BE

// OAuth2, OIDC認証
"SpRp_Isser": "http://localhost:8888/auth/realms/master",
"OAuth2AndOidcClientID": "f53469c17c5a432f86ce563b7805ab89",
"OAuth2AndOidcSecret": "<Keycloakが生成した値を入力する>",
"SpRp_RsaCerFilePath": "C:\root\files\resource\X509\SHA256RSA_Keycloak.cer",
"JwkSetUri": "http://localhost:8888/auth/realms/master/protocol/openid-connect/certs",

※ SHA256RSA_Keycloak.cer

以下から、鍵（RS256のCertificate）を取得し、
http://localhost:8888/auth/admin/master/console/#/realms/master/keys

以下の様にファイルを作成する。
・Bag Attributesの部分は不要
・改行はあってもなくても良い
・コンテナ初回起動時に初期化している
　様なので削除したら再作成が必要になる。

MVC_Sampleの実装を修正する。
- 認可リクエスト
  - 認可エンドポイントをKeycloakの値に変更する。
  - redirect_uriはOIDCでは必須なので追加する。
  - "prompt=none"はダメっぽいので外す。
- 認可レスポンス
  - TokenエンドポイントをKeycloakの値に変更する。
    複数指定可能なので、ココでも、redirect_uriが必要。
    また、ココでは、HttpUtility.HtmlEncodeでエンコードをする。
  - UserinfoエンドポイントをKeycloakの値に変更する。

コンパチ (2)

FrontendTemplates＆ResourceServerTemplatesと連携させてみる。

汎用認証サイトのSPA_Sampleの設定を
Keycloakに登録する（SPA_Sampleは public client）。

"f374a155909d486a9234693c34e94479": {
  "client_secret": "z54lhkewWPl4hk3eF1WYwvdqt7Fz24jYamLPZFVnWpA",
  "redirect_uri_code": "http://localhost:3000/RedirectEndpoint",
  "redirect_uri_token": "",
  "client_name": "SPA_Application"
},

SPA_Sampleの設定を、
汎用認証サイト → Keycloakに変更する。

AS-IS

// const.js
let FrontendHostRootUrl = 'http://localhost:3000';
let AuthServerRootUrl = 'https://localhost:44300/MultiPurposeAuthSite';
let ResourcesServerRootUrl = 'http://localhost:8888';

let constants = {
    BaseUrl: '~/',
    ClientId: 'f374a155909d486a9234693c34e94479',
    AuthRequestUrl: AuthServerRootUrl + '/authorize',
    TokenRequestUrl: AuthServerRootUrl + '/token',
    UserInfoRequestUrl: AuthServerRootUrl + '/userinfo',
    FetchDataRootUrl: FrontendHostRootUrl + '/api/sampledata/weatherforecasts?',
    CrudSampleRootUrl: ResourcesServerRootUrl + '/api/json/'
};

TO-BE

// const.js
let FrontendHostRootUrl = 'http://localhost:3000';
let AuthServerRootUrl = 'http://localhost:8888/auth/realms/master/protocol/openid-connect';
let ResourcesServerRootUrl = 'http://localhost:9999';

let constants = {
    BaseUrl: '~/',
    ClientId: 'f374a155909d486a9234693c34e94479',
    AuthRequestUrl: AuthServerRootUrl + '/auth',
    TokenRequestUrl: AuthServerRootUrl + '/token',
    UserInfoRequestUrl: AuthServerRootUrl + '/userinfo',
    FetchDataRootUrl: FrontendHostRootUrl + '/api/sampledata/weatherforecasts?',
    CrudSampleRootUrl: ResourcesServerRootUrl + '/api/json/'
};

※ Auth ServerとResource Serverのポート競合のため、Resource Serverを9999に変更。

ResourceServerTemplatesの設定を、
汎用認証サイト → Keycloakに変更する。

AS-IS

// OAuth2, OIDC認証
"JwkSetUri": "https://localhost:44300/MultiPurposeAuthSite/jwkcerts/",
"SpRp_RsaCerFilePath": "C:\root\files\resource\X509\SHA256RSA_Server.cer",
"SpRp_Isser": "https://ssoauth.opentouryo.com",

TO-BE

// OAuth2, OIDC認証
"JwkSetUri": "http://localhost:8888/auth/realms/master/protocol/openid-connect/certs",
"SpRp_RsaCerFilePath": "C:\root\files\resource\X509\SHA256RSA_Keycloak.cer",
"SpRp_Isser": "http://localhost:8888/auth/realms/master",

SPA_Sampleの実装を修正する。

認可リクエスト

redirect_uriはOAuth2でも必須っぽいので追加する。

scopeをKeycloakでサポートされているものに絞る。

let params =
  "?client_id={0}&response_type=code&scope=profile"
  + "&state={1}&code_challenge={2}&code_challenge_method=S256&response_mode=fragment"
  + "&redirect_uri=http%3A%2F%2Flocalhost%3A3000%2FRedirectEndpoint";

認可レスポンス

Tokenエンドポイントにredirect_uriを送る。

const body =
  "grant_type=authorization_code"
  + "&client_id=" + ClientId
  + "&code=" + code
  + "&code_verifier=" + code_verifier
  + "&redirect_uri=http%3A%2F%2Flocalhost%3A3000%2FRedirectEndpoint";

参考

Keycloak〜OpenAMに替わるシングルサインオン〜
OSSでのシステム構築・デージーネット
https://www.designet.co.jp/ossinfo/keycloak/

入門

Keycloak入門
https://www.slideshare.net/wadahiro/keycloak-106218557

Think IT

Keycloakで実現するAPIセキュリティ記事一覧
https://thinkit.co.jp/series/9721
- 第1回 : KeycloakによるAPIセキュリティの基本
  https://thinkit.co.jp/article/17559
- 第2回 : Keycloakのインストールと構築例
  https://thinkit.co.jp/article/17621

＠IT

Keycloak超入門
https://www.atmarkit.co.jp/ait/series/7363/
- （1）：マイクロサービス時代のSSOを実現する「Keycloak」とは
  https://www.atmarkit.co.jp/ait/articles/1708/31/news011.html
- （2）：サンプルアプリケーションでKeycloakのSSO動作を確認してみよう
  https://www.atmarkit.co.jp/ait/articles/1710/04/news008.html
- （3）：Keycloakクライアントアダプターを利用してAPIサービスを構築してみよう
  https://www.atmarkit.co.jp/ait/articles/1711/08/news009.html
- （4）：Keycloakのクラスタ環境を構成してみよう
  https://www.atmarkit.co.jp/ait/articles/1801/31/news019.html
- （5）：Keycloakで外部アイデンティティー・プロバイダーと連携してみよう
  https://www.atmarkit.co.jp/ait/articles/1804/14/news004.html
- （6）：Keycloakで外部ユーザーストレージに連携してみよう
  https://www.atmarkit.co.jp/ait/articles/1806/18/news007.html
- （7）：Keycloakで実用的なリバースプロキシ型構成を構築してみよう
  https://www.atmarkit.co.jp/ait/articles/1810/22/news011.html
- （8）：Keycloakで認可サービスを試してみよう［前編］
  https://www.atmarkit.co.jp/ait/articles/1904/03/news003.html
- （最終回）：Keycloakで認可サービスを試してみよう［後編］
  https://www.atmarkit.co.jp/ait/articles/1912/06/news008.html

評価

DockerとKeycloakで
世界最速OpenID Connect！！ | SIOS Tech. Lab
https://tech-lab.sios.jp/archives/19319

Qiita

Keycloakとは
https://qiita.com/daian183/items/30f01e162e03567ff21b
Docker-Composeを使用して
KeyCloak + リバースプロキシをセットアップする
https://qiita.com/tosier/items/c6f64811fde067bfd3c3
@shibukawa
- OpenID Connectを使ったアプリケーションの
  テストのためにKeycloakを使ってみる
  https://qiita.com/shibukawa/items/fd78d1ca6c23ce2fa8df
- Keycloakの設定をファイルから読み込む
  https://qiita.com/shibukawa/items/70a60622c5cc596d355b

移行メモ

PukiWiki のページ内アンカ（#xxxxxxxx）は GitHub Wiki では再現できないため、

同一ページ内のアンカは、見出しから生成されるアンカに張り替え、

他ページのアンカを指すリンクは「〜（ページ名 の該当節を参照）」の形に置き換えた。

元 Wiki の行頭空白によるプレフォーマット・ブロックは、言語を指定したフェンス付きコードブロックにした。

元 Wiki の赤字強調（&color(red){…};）は太字にした。

JWKS の x5c と SAML メタデータの X509Certificate は同一の証明書が繰り返し掲載され極端に長いため、本文中の 1 箇所（SHA256RSA_Keycloak.cer の例）を残し、他は「...（中略）...」に短縮した。

元ページの誤記を修正した。「MVC_sample」→「MVC_Sample」（他の箇所の表記に合わせた）、「HttpUtility.HtmlEncodeでエンコをする」→「…エンコードをする」。

本ページは 2020 年時点の記録であり、 jboss/keycloak イメージや /auth パスを含む URL 体系は現在の Keycloak（Quarkus 版）では変更されている点に注意。

Tags: 移行, Keycloak, 認証基盤, IdP, STS, OAuth2, OpenID Connect, SAML, Docker, SSO

このWikiは「Open棟梁Project」,「OSSコンソーシアム開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki

Open 棟梁 Wiki

（未着手）

TOP

開発基盤部会 Wiki

TOP
サービス
- 企画
- 価値
- 技術
- 見積
- …ほか（サービス）
DX
BI / AI
Linux
- Linuxのディストリビューション
- Linuxを触ってみる。
- Docker
- CaaS (Open PaaS)
- …ほか（Linux）
Java
- Javaを書いてみる。
- Java有償化について調べてみた。
OSS
- ライセンス
- 開発方法論
- ビジネスモデル
- 導入事例
- …ほか（OSS）
開発環境
その他

移行管理: DONE ／ TODO

Uh oh!

DNET_Keycloak

Keycloak

概要

詳細

機能

使い方

起動

把握

操作

連携

コンパチ (1)

コンパチ (2)

参考

入門

Think IT

＠IT

評価

Qiita

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!