TL;DR

golangでWebアプリケーションを開発するにあたり，SAML認証を組み込む方法を紹介します
- Keycloakの機能を利用します
- net/httpで作るWebアプリケーションに，認証を付けるサンプルを紹介します
crewjam/samlライブラリを使います
- Getting Started as a Service Providerのプログラムを参考に進めます
- 最も単純な構造のWebアプリケーションを実装します

準備

環境想定

Webアプリケーションは，以下のような，超シンプルなものをつくります
- URLにリクエストを発行すると，ログインが求められます
- ログインするとユーザ名が表示されます
テスト環境なので，Webアプリケーションはローカルホストで稼働させます
- keycloakへ認証の問い合わせを行うのでネットワークに接続されている必要があります

必要環境

go 1.12.5

go version
go version go1.12.5 darwin/amd64

crewjam/saml

go get github.com/crewjam/saml/samlsp

Keyclockサーバ
- 各種サービスと連携するSSOサービスです
- 「OSSなシングルサインオンサービスKeycloakをdockerで立ち上げる」で立ち上げ方法を紹介しています
- gitlabおよびgrowiとの連携方法の記事もあるので，参考にしてください
バージョンは多少前後しても動くと思います

Keycloak設定

Keycloakに管理者権限でログインし，連携したいRealmを選択します
"Clients"から"Create"を選択します
- ClientIDをhttp://localhost:8000/saml/metadataのように，サービスを稼働させるURLを設定します
- Client Protocolを"saml"でClientを作成します．
- Clientの各タブのうち，サンプルの段階で設定を要するのは以下のとおりです

Settingsタブ

フィールド名	値
Client Signature Required	OFF
Root URL	`http://localhost:8000`

Mappersタブ

usernameだけ設定します
- usernameをマップします

Name	Mapper Type	Property	Friendly Name	SAML Attribute Name	SAML Attribute NameFormat
username	username	username		username	Basic

SAML Keysタブ：x.509証明書の取得

ClientのSAML Keysタブから，Signing Keyを2つのファイルにコピーします
- Private Key : myservice.key
- Certificate : myservice.cert
- キーが生成されていなければ，"Generate new keys"ボタンをクリックして生成します
各ファイルには，下記のように接頭行，末尾行を追加します
- myservice.key
- -----BEGIN PRIVATE KEY----- MII.....<snip>..... -----END PRIVATE KEY----- * myservice.cert * -----BEGIN CERTIFICATE----- MII.....<snip>..... -----END CERTIFICATE-----

プログラム

GitHub crewjam/samlのGetting Started as a Service Providerのプログラムを参考に進めます
以下のようなプログラムmain.goを作成します
- mainメソッドの最初にある5行で，SAML設定に要する文字列を設定しています
- confIDPMetadataURL: メタデータのURIを記載します．Keycloakの場合は，Keycloakのドメインに，realms/<Realm>/protocol/saml/descriptorのパスを加えたものです
  - 下記コードでは例としてKeycloak(https://sso.eample.com), Realm(dev)の場合を記載しています
  - https://sso.example.com/auth/realms/dev/protocol/saml/descriptor
- x509cert，x509key: 前項で作った証明書ファイルです．main.goと同じディレクトリに配置して，プログラムで読み込みます
- confRootURL，confPort: Webアプリケーションの設定です．KeycloakのClientIDにはconfRootURLと同じ文字列が設定されている必要があります．

//main.go
package main

import (
    "crypto/rsa"
    "crypto/tls"
    "crypto/x509"
    "fmt"
    "net/http"
    "net/url"

    "github.com/crewjam/saml/samlsp"
)

func hello(w http.ResponseWriter, r *http.Request) {
    fmt.Printf("%+v", samlsp.Token(r.Context()))
    fmt.Fprintf(w, "Hello, %s!", samlsp.Token(r.Context()).Attributes.Get("username"))
}

func main() {
    confIDPMetadataURL := "https://sso.example.com/auth/realms/dev/protocol/saml/descriptor"
    x509cert    := "myservice.cert"
    x509key     := "myservice.key"
    confRootURL := "http://localhost:8000"
    confPort    := ":8000"

    keyPair, err := tls.LoadX509KeyPair(x509cert, x509key)
    if err != nil {
        panic(err) // TODO handle error
    }
    keyPair.Leaf, err = x509.ParseCertificate(keyPair.Certificate[0])
    if err != nil {
        panic(err) // TODO handle error
    }

    idpMetadataURL, err := url.Parse(confIDPMetadataURI)
    if err != nil {
        panic(err) // TODO handle error
    }

    rootURL, err := url.Parse(confRootURL)
    if err != nil {
        panic(err) // TODO handle error
    }

    samlSP, _ := samlsp.New(samlsp.Options{
        URL:            *rootURL,
        Key:            keyPair.PrivateKey.(*rsa.PrivateKey),
        Certificate:    keyPair.Leaf,
        IDPMetadataURL: idpMetadataURL,
    })
    app := http.HandlerFunc(hello)
    http.Handle("/hello", samlSP.RequireAccount(app))
    http.Handle("/saml/", samlSP)
    http.ListenAndServe(confPort, nil)
}

動作確認

Webアプリの実行

作成したmain.go, myservice.key, myservice.confを同じディレクトリに置いて，go runコマンドで実行します
- go run main.go

ブラウザで確認

Webアプリケーションhttp://localhost:8000/helloにアクセスすると，Keycloakのログイン画面に遷移します
Realmに登録されたユーザでログインすると，Webアプリケーションの画面に戻り，ユーザ名を使用した表示が行われます

SSOサービスKeycloakとgolangのHTTPサーバを連携する

TL;DR

準備

環境想定

必要環境

Keycloak設定

Settingsタブ

Mappersタブ

SAML Keysタブ：x.509証明書の取得

プログラム

動作確認

Webアプリの実行

ブラウザで確認

参考