Keycloak

久しぶりの積読消化シリーズ...！ OSS製品の本ではありますが認証、認可の切り口で学習する教材としても良さげです。今回は本の内容というよりざっと読んで得た知識で実際に手を動かしていきたいと思います。 Why Keycloak? 過去にも紹介しましたが、個人的にStrapiの認証系のOSSを公開しています。 github.com ちょくちょく外国の方からPRが届くのですが、その中でKeycloakを使ったOIDCのものがあったのでマージ前に一度学んでおこうと思い書籍購入に至ります。 あと、この手のクラウドサービスは若干高い（個人的な感覚）のでホスティングの選択肢も増えるとシステム構成に幅が広が…

※この記事は Red Hat Advent Calendar 2023 の 18日目の記事です。 qiita.com Red Hatのソリューションアーキテクトの井上たかひろです。 Red Hat SSO(Single sing-on)改めRed Hat build of Keycloakが2023年11月にGAになりました。 この記事では、Red Hat SSOからRed Hat build of Keycloakでの主な変更点とマイグレーション情報について記載します。 Red Hat SSOからRed Hat build of Keycloakでの主な変更点 Keycloakがメジャーにな…

前回の記事でAdmin REST APIを使ってレルムの作成を行いました。 今回はユーザの作成をして、そのユーザにレルムの作成権限をマッピングしてみようと思います。 マスターレルムにユーザを作成して、そのユーザでレルムを作成することで作成したレルムの管理をそのユーザで行うことができます。 （※レルムを作成したユーザには自動でそのレルムのアクセス権限が付与されます。） They will be granted full access to any new realm they create.

Keycloakを使用する機会があったので、色々と使い方を調査してみました。 Keycloakは管理画面を提供してくれているのですが、今回は管理画面からではなくAdmin REST APIを使用して「レルム」の作成をしてみます。 なお、管理画面の操作方法については公式ドキュメントに記載があります。

AWS RDSの接続情報をSecretsManagerで管理していて、定期的な認証情報のローテーションを行うというのは割とベタ？な構成かと思います。 そんな構成の中にKeycloakをECSに載せて動かしたい場合に、Keycloakは標準ではSecretsManagerから認証情報を取得することはできないので、 AWS Secrets Manager JDBC LibraryをKeycloakに組み込んでSecretsManagerから認証情報を取得できるようにしてみたいと思います。 github.com 1. Keycloakのコンテナを用意 2. AWS Secrets Manager J…

Keycloak は SAML の Identity Provider (IdP) としてあるいは OpenID Connect (OIDC) の OpenID Provider (OP) として使用することができます。 2層アーキテクチャ (Two-tier Architecture) や 3層アーキテクチャ (Three-tier Architecture)、またはより多層 (Multi-tier) となるマイクロサービスアーキテクチャで構築されたアプリケーションに認証認可機能を提供する場合には持参人トークン (Bearer token) を使用する OIDC が適していますが、SAML …

はじめに 今年最後のアドベントカレンダーを担当します、コンサルタントの金子です。クリスマスということでサンタクロースがプレゼントを持ってきたご家庭もあるかとお思いますが、セキュリティは万全でしょうか。OpenShift の Identity Provider に htpasswd をお使いの方もいらっしゃるかもしれませんが、OpenShift をよりセキュアにして安心安全な年末年始を過ごしましょう。 目次 はじめに 目次 Identity Provider 環境 Red Hat Singl Sign-on (KeyCloak) の設定 Operator のインストール KeyCloak インス…

こんにちは、Red HatでOpenShift関連のプリセールスをしている北村です。 前回の記事ではGitHubと連携してDeveloper Hubの認証を実装しました。 しかし中には、GitHubではなく社内のオンプレミス環境に構築したGitLabを利用している方もいるかと思います。 なので今回はGitLab OAuthを利用したDeveloper Hub認証の実現方法をまとめてみます。 【第1回】Developer Hubをインストールしてみよう 【第2回】GitHubを使用した認証を実装しよう 【第3回】GitLabを使用した認証を実装しよう ←この記事 GitLabを利用した認証に関す…

成果目標 低レイヤーエンジニアとして、屈強な地盤を発揮する状態 : CTF大会で優勝すること ⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎ : インフラエンジニアとしてプロジェクトをリードした状態 : セキュリティエンジニアとしての役割の一角を担うこと ⭐︎⭐︎⭐︎⭐︎⭐︎ : セキュリティの攻撃手法が一通り網羅された状態 「インフラエンジニアとしてプロジェクトをリードした状態」は、達成している。 自分よりも10個以上年が離れた先輩とも、プロジェクトが抱える問題を提起し対応するきっかけを作ろうと試みている状態。 確かに、「セキュリティエンジニアとしての役割の一角を担うこと」は上記の…

# 成果目標 低レイヤーエンジニアとして、屈強な地盤を発揮する状態 : CTF大会で優勝すること ⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎⭐︎ : インフラエンジニアとしてプロジェクトをリードした状態 : セキュリティエンジニアとしての役割の一角を担うこと ⭐︎⭐︎⭐︎⭐︎⭐︎ : セキュリティの攻撃手法が一通り網羅された状態 「インフラエンジニアとしてプロジェクトをリードした状態」は、達成している。 自分よりも10個以上年が離れた先輩とも、プロジェクトが抱える問題を提起し対応するきっかけを作ろうと試みている状態。 確かに、「セキュリティエンジニアとしての役割の一角を担うこと」は上…

こんにちは。忘年会の二次会で突然開催された社内でスト2対戦会では無敗だったギフティ CTO 柳瀬です。 さて、今回のブログでは、ギフティの開発組織内で2021年に発足した Platform Unit についてご紹介したいと思います。このチームは、ギフティのプロダクト全体を横断する基盤の設計や、技術的共通課題の解決を担う存在であり、現在CTOである自分が率いています。その役割や、取り組んでいるプロダクトについて、少しでもイメージをお伝えできればと思います。 Platform Unit 設立の背景と責務 ギフティのプロダクトは、個人向けサービス「giftee」や法人向けの「giftee for B…

OpenID - Wikipedia OpenIDの概要 概要と特徴 分類 メリット デメリット 既存との比較 導入ポイント 注意点 今後 OpenID ConnectとOAuth 2.0の違い OAuth 2.0 OpenID Connect 具体的な違い 自社サービスへのOpenID Connect導入準備 1. IDプロバイダー（IdP）の選定 2. 導入範囲の決定 3. システム設計 4. 開発環境の準備 5. APIの開発 6. セキュリティ対策 7. テスト 8. 運用 9. ドキュメント作成 その他考慮事項 具体的なIDプロバイダーの例 クラウド型IDプロバイダー オンプレミス型…

はじめに こんにちは、NRIの林です。皆さんはJJUG（外部サイトへ遷移）という団体をご存知でしょうか？JJUG（日本Javaユーザーグループ）はJava 技術の向上・発展、開発者の支援を目的とした任意団体です。 今回、私と古藤の2人でJJUGが主催するイベントであるJJUG CCC 2024 Fall（外部サイトへ遷移）に登壇者として参加しました。本記事ではJJUG CCCの概要やイベントの様子、実際に発表してみた感想について紹介します！ JJUG CCCとは？ JJUGは2007年4月に発足した団体であり、前述の通りJava 技術の向上・発展、開発者の支援を目的として設立されました。 JJ…

はじめに Keycloak（RedHat Build of Keycloak）ではQuarkusの設定でJDBCの接続プールの値を調整でき、その中にデータベース接続の検証を担う箇所があります。本記事では同設定を入れた状態と入れていない状態を用意し、Keycloakの管理コンソールを操作した際の挙動がどのように変化するのかを確認しました。尚、今回は接続を取得する前の検証（フォアグラウンド検証）を有効にします。 quarkus.datasource.jdbc.background-validation-interval=0s quarkus.datasource.jdbc.foreground-v…

これは、なにをしたくて書いたもの？ 前に、MicroProfile JWT AuthをWildFly 33とKeycloak 25で試してみました。 WildFly 33 × Keycloak 25でMicroProfile JWT Authを試す - CLOVER🍀 この時に思ったのですが、Jakarta SecurityでOpenID Connectを扱っており、先にこちらをやった方がよかったのではないかなと思っていまして。 今回試してみることにしました。 Jakarta Security Jakarta Securityのページはこちら。 Jakarta Security | Jakar…

エラー内容 Red Hat Build of Keycloakをcache-ispn.xmlでクラスタ構成にした上でkc.sh startを実施するも以下のエラーが発生する。尚、JDBC_PINGの接続先はDB（PostgreSQL）を接続先としている。 # ./bin/kc.sh start ... ERROR [org.jgroups.protocols.JDBC_PING] (keycloak-cache-init) JGRP000138: Error reading JDBC_PING table: org.postgresql.util.PSQLException: ERROR: r…

ISSとは？ ISSパラメータの役割は「認証を行った認証プロバイダのURLが含まれる」ことで、クライアントは正しい認証プロバイダから行われたことを検証できます。これにより、セキュリティ上の検証が可能となり、第三者による偽装を防ぐことができるというわけですね。 中を見てみる Keycloakの管理コンソールである「security-admin-console」にログインをするとKEYCLOAK_IDENTITYというクッキーが払い出されます。 それをbase64でデコードすると echo $hoge | cut -d"." -f2 | base64 -d {"exp":1xx262,"iat":…

有為転変というには儚さが足りませんが、ビジネスパーソンたる私たちを取り巻く環境も例に漏れず変化していくものです。何とかそれに適応していくためにも社内向けの研修システムがあると便利ですよね。そこで今回は社内向けの動画研修システムを考えてみたいと思います。 今回を構築編として、次回はレビュー編を予定しています。 目次 目次 シナリオ 現状 システム化後 システム構築 方針 完成後のアーキテクチャとソースコード ユーザーとAWS間のアクセス経路 Webアプリ Webアプリは内部ALBからS3インターフェースエンドポイント経由で取得 インターフェースエンドポイントのIPアドレスはカスタムリソースで取得…

エラー内容 Red Hat Build of Keycloakをkc.bat startを実施するも以下のエラーが発生する。尚、HTTPS接続は要件ではない。 .. ERROR [org.keycloak.quarkus.runtime.cli.ExecutionExceptionHandler] (main) ERROR: Failed to start server in (production) mode .. ERROR [org.keycloak.quarkus.runtime.cli.ExecutionExceptionHandler] (main) ERROR: Key mate…