※ この記事は Red Hat Advent Calendar 2023 の19日目の記事です。
Red Hatのソリューションアーキテクトのおおみぞです。
Red Hat Build of Keycloak（以降、Keycloak）を Red Hat OpenShift Container Platform（以降、OpenShift）の Identity Provider として利用するための設定をご紹介します。今回は Keycloak も OpenShift にデプロイするので、
2つの OpenShift 環境を用意します。1つは Keycloak をデプロイする環境でクラウド上に作成、もう一つは Keycloak によって保護される環境でローカルに作成します。
全体の流れとしては、以下のようになります。
- （クラウド） Postgresql をデプロイ
- （クラウド） Keycloak Operator インストール
- （クラウド） Keycloak インスタンス作成
- （クラウド) KeycloakにRealm/Client/User 作成
- （ローカル） OpenShift のアイデンティティプロバイダー設定
Keycloakのデプロイ
keycloak という名前の OpenShift のプロジェクトに、DB や Keycloak をデプロイしていきます。
データベースの準備
まずは、Keycloakのバックエンドのデータベースを準備します。
様々なDBサーバがサポート対象となっていますが、今回はPostgreSQLを利用します。
PostgresqlのStatefulsetとServiceをYAMLを使ってデプロイします。
以下の内容を kc-pgsql.yaml というファイルに保存し、oc apply -f kc-pgsql.yaml コマンドで PostgreSQL をデプロイします。
apiVersion: apps/v1
kind: StatefulSet
metadata:
name: postgresql-db
spec:
serviceName: postgresql-db-service
selector:
matchLabels:
app: postgresql-db
replicas: 1
template:
metadata:
labels:
app: postgresql-db
spec:
containers:
- name: postgresql-db
image: postgres:latest
volumeMounts:
- mountPath: /data
name: cache-volume
env:
- name: POSTGRES_PASSWORD
value: testpassword
- name: PGDATA
value: /data/pgdata
- name: POSTGRES_DB
value: keycloak
volumes:
- name: cache-volume
emptyDir: {}
---
apiVersion: v1
kind: Service
metadata:
name: postgres-db
spec:
selector:
app: postgresql-db
type: LoadBalancer
ports:
- port: 5432
targetPort: 5432
KeycloakがDBにアクセスするときに利用する DB のユーザとパスワードを Secret keycloak-db-secret として登録します。
oc create secret generic keycloak-db-secret \
--from-literal=username=postgres \
--from-literal=password=testpassword
Keycloak の TLS 証明書と鍵の作成
自己証明書を作成します。OpenShift の Identity Provider を登録する際に SAN(Subject Alternative Name)がない証明書を利用すると、証明書が不正となって Identity Provider の登録ができないので、SANに対応した証明書を作成します。
私は Red Hat Build of Keycloak - Operator Guideに記載の通りに設定していき、いざ、OpenShift の設定をするときに「証明書が登録できない！？」となってあたふたしてしまいました。
証明書に関する細かな説明は割愛しますが、以下の手順で作成した証明書を利用しました。
ルートCAの秘密鍵作成 => rootCA1.key
ルートCAの証明書作成 => rootCA1.pem
openssl genrsa -out rootCA1.key -des3 2048
openssl req -new -x509 -key rootCA1.key -sha256 -days 3650 -extensions v3_ca -out rootCA1.pem -subj "/C=JP/ST=Tokyo/O=rootCA1/CN=rooCA1"
中間CAの秘密鍵作成 => inCA1.key
中間CAの証明書要求作成(CSR) => inCA1.csr
中間CAの証明書作成(PEM) => inCA1.pem
openssl genrsa -out inCA1.key -des3 2048
openssl req -new -key inCA1.key -sha256 -outform PEM -keyform PEM -out inCA1.csr -subj "/C=JP/ST=Tokyo/O=inCA1/CN=inCA1"
openssl x509 -extfile openssl_sign_inca.cnf -req -in inCA1.csr -sha256 -CA rootCA1.pem -CAkey rootCA1.key -set_serial 01 -extensions v3_ca -days 3650 -out inCA1.pem
秘密鍵と証明書要求の作成 => server.csr
サーバ証明書作成 => server.pem
openssl req -new -newkey rsa:2048 -nodes -out server.csr -keyout server.key -sha256 -config openssl_sign_server.cnf -subj "/C=JP/ST=Tokyo/O=Keycloak/CN=test.keycloak.org"
openssl x509 -req -in server.csr -sha256 -CA inCA1.pem -CAkey inCA1.key -set_serial 01 -days 3650 -extfile san.txt -out server.pem
最後に内容確認します。
openssl x509 -in server.pem -text -noout
証明書を Secret として登録します。
oc create secret tls example-tls-secret --cert server.pem --key server.key
Keycloak Operator のインストール
Operator Hub で rhbk というキーワードで Keycloak Operator を検索しインストールします。
Keycloak のインスタンス作成
インストール済みの Operator の中から Keycloak Operator を選択し、 Keycloak インスタンスを作成します。
Keycloak の作成画面で、YAML ビューを選択し以下の内容を貼りつけて作成をクリックします。
apiVersion: k8s.keycloak.org/v2alpha1
kind: Keycloak
metadata:
name: example-kc
spec:
instances: 1
db:
vendor: postgres
host: postgres-db
usernameSecret:
name: keycloak-db-secret
key: username
passwordSecret:
name: keycloak-db-secret
key: password
http:
tlsSecret: example-tls-secret
hostname:
hostname: test.keycloak.org
Keycloak の Pod が正常に動いていることを確認するために oc get pods を実行します。Operator, Postgresql, Keycloak の3つが Running となっていれば OK です。
oc get pods
NAME READY STATUS RESTARTS AGE
example-kc-0 1/1 Running 0 2m12s
postgresql-db-0 1/1 Running 0 80m
rhbk-operator-7975df488-9gx22 1/1 Running 0 57m
Keycloak の管理ポータルにアクセスするときに利用するユーザとパスワードを確認します。
oc get secret example-kc-initial-admin -o jsonpath='{.data.username}' | base64 --decode
oc get secret example-kc-initial-admin -o jsonpath='{.data.password}' | base64 --decode
Keycloak へアクセス
Keycloak の Hostname に設定した test.keycloak.org の名前解決ができるようにする必要があります。
oc get ingress コマンドで、Ingress Controller のアドレスを確認し、ADDRESS 列に出力された FQDN の IP アドレスを確認し、hosts (MacやLinuxの場合は /etc/hosts) にエントリを追加します。
% oc get ingress
NAME CLASS HOSTS ADDRESS PORTS AGE
example-kc-ingress <none> test.keycloak.org router-default.apps.cluster-000000.dynamic.redhatworkshops.io 80 13m
% dig router-default.apps.cluster-000000.dynamic.redhatworkshops.io
これで、ブラウザで http://test.keycloak.org アクセスできるようになりました。
Keycloak を利用した OpenShift の認証の設定
Keycloak の Realm の登録
Keycloak のポータルにアクセスして、OpenShift の認証に利用する Realm を demo という名前で作成し、openshift という名前の Client を作成します。その後、 User を追加します。
OpenShift の Identity Provider の設定
OpenShift のポータルの管理メニューでクラスター設定を選択し、設定タブで oauth というキーワードで検索し oAuth を選択します。
oAuth の詳細画面の下の方のアイデンティティプロバイダーの追加リストで OpenID Connect を選択し、Keycloak での認証の設定をします。
アイデンティティプロバイダの追加画面で、名前、クライアントID、クライアントシークレット、発行者のURL (Issuer URL)とTSLの証明書をアップロードして保存すれば設定は完了です。
反映時にエラーなどがある場合は、ClusterOperators の authentication の詳細でエラーなどが確認できます。
動作確認
ローカルで起動中の OpenShift の URL にアクセスすると、ID Provider の選択ができるのでここで demo を選択します。
Keycloak のユーザ認証画面にリダイレクトされるのでそこで、ユーザ/パスワードを入力して認証が OK ならば、OpenShift の画面に遷移します。
まとめ
Keycloak を OpenShift の Identity Provider として利用するための設定方法を説明しました。 OpenShift では、様々な Identity Provider と連携することができますので使い方に合わせて最適な方式を選択してみてください。