More than 3 years have passed since last update.

Keycloak

Posted at 2021-02-28

Keycloakとは

Keycloak(キークローク)とはWeb上でのSSO(シングルサインオン)を実現するためのJavaベースの認証ソフトウェアです。初版は2014年9月にリリースされ、最新版は2021年2月にリリースされた12.0.3になります。また、2016年にRed HatはRH SSO製品を、PicketLinkフレームワークからKeycloak upstreamプロジェクトをベースとしたものに切り替え、それに伴い、PicketLinkのコードベースがKeycloakにマージされました。現在、シングルサインオやAPIアクセスの認証・認可制御を実現するソフトウェアの分野において、最も勢いのあるソフトウェアの１つと言われています。

機能

Keycloakの主な機能は以下の通りになります。(ドキュメントから抜粋)
・ソーシャルログイン(Google,GitHub,Facebook,Twitterなど)
・同じRealmに含まれる全てのアプリケーションに対する、シングルサインオン/サインオフ
・二要素認証(Google AuthenticatorやFreeOTPを使用したTOTP/HOTPのサポート)
・ユーザーフェデレーション(LDAPやActive Directory)
・ケルベロス連携(サーバーにログイン済のユーザーに対する認証連携)
・ユーザーに自分たちのアカウントを一元管理することを許可するためのアカウント管理コンソール

用語

(ドキュメントから抜粋)

用語	説明
認証	ユーザーを特定し、検証するプロセス
認可	ユーザーに対してアクセスを許可するプロセス
ロール	ロールは、ユーザーのタイプまたはカテゴリーを識別する。 Admin,User,Manager,Employeeが組織内に存在する典型的なロールとなる。
ユーザー・ロール・マッピング	ユーザー・ロール・マッピングはロールとユーザーの間のマッピングを定義する。ユーザーには、0以上のロールを関連付けることができる。このロールマッピング情報を、トークンとアサーションにカプセル化して、アプリケーションが管理する様々なリソースに対するアクセス許可を決定できるようにする。
複合ロール	複合ロールは、他のロールと関連付けることができるロール。
グループ	グループはユーザーのグループを管理する。グループには、属性を定義することができ、ロールもグループにマップすることができる。グループのメンバーになったユーザーは、そのグループが定義する属性とロールマッピングを継承する。
レルム	レルムは、ユーザー、クレデンシャル、ロール、及び、グループのセットを管理する。ユーザーは属しているレルムにログインする。レルムは互いに分離されており、制御するユーザーのみを管理して、認証することができる。
クライアント	クライアントは、keycloakにユーザーの認証を要求できるエンティティー。
クライアントアダプター	クライアントアダプターは、keycloakによる通信とセキュリティー保護を可能にするためにアプリケーション環境にインストールするプラグイン。 keycloakには、異なるプラットフォーム向けのいくつかのアダプターが用意されており、ダウンロードが可能。
クライアントロール	クライアントは、特定のロールを定義できる。これは、基本的にクライアント専用のロールの名前空間
IDトークン	ユーザーに関する識別情報を提供するトークン。これは、OpenID Connect仕様の一部
アクセストークン	サービスへのアクセスを許可するHTTPリクエストの一部として提供できるトークン。これは、OpenID Connect及びOAuth 2.0仕様の一部
アサーション	ユーザーに関する情報
サービス・アカウント	各クライアントには、アクセストークンを取得するための組み込みサービス・アカウントがある
ダイレクト・グラント	クライアントがREST呼び出しを介して、ユーザーに変わってアクセストークンを取得する方法。
プロトコル・マッパー	各クライアントに対し、どのクレーム及びアサーションをOIDCトークンまたはSAMLアサーションに格納するかを調整できる。クライアントごとに、プロトコル・マッパーを構成する