More than 5 years have passed since last update.

シングルサインオンサービスKeycloakとWikiシステムGrowiを連携する

Last updated at 2019-05-22Posted at 2019-05-22

TL;DR

SSOサービスKeycloakと，WikiシステムGrowiを，連携させる方法を説明します
- 両者が，Dockerコンテナで稼働している状況で進めます
- 各サービスのコンテナ立ち上げ方法は以下の参考リンクをご覧ください
  - OSSなシングルサインオンサービスKeycloakをdockerで立ち上げる
  - Growi(Markdown記法によるWikiプラットフォーム)をdocker-composeで稼働させる
GrowiへのログインがKeycloakへのログインに置き換えられます
- KeycloakはGrowi以外のサービスへも連携できるので，Keycloakでユーザを作ると，連携した他のサービスのユーザ作成が不要になります

Keyclock，Growi両方で設定が必要です
Keyclock:
- Keycloak側でRealm(レルム，領域)を作成し，ユーザやグループを作ります
- Keycloakで，Growi用のClientを作成し，Growiからのリクエストを受け付けます
Growi:
- SAMLの設定を行い，Keycloakに接続します

https://sso.example.com/auth/realms/dev/protocol/saml/descriptor

画面左のメニューから，"Manage"カテゴリの"Users"をクリックします
- 画面右に表示される"Add User"をクリックし，ユーザを作成します
- Username, Email, First Name, Last Nameを入力し，"Save"します
- メール設定をしていない場合は"Email Verified"をONにしておきます
"Credentials"タブで，パスワードを設定します
- "Temporary"をONにしておくと，初回ログイン時にパスワードの変更を求められます（不要であればOFFにします）

設定名	設定値
Client ID	growi
Enabled	ON
Client Protocol	saml
Include AuthnStatement	ON
Sign Documents	ON
Sign Assertions	ON
Signature Algorithm	RSA_SHA1
SAML Signature Key Name	KEY_ID
Canonicalization Method	EXCLUSIVE
Force POST Binding	ON
Front Channel Logout	ON
Force Name ID Format	ON
NAME ID Format	username
Root URL	GrowiのURL(e.g. `https://growi.example.com/`)
Valid Redirect URIs	GrowiのURL以下の領域 (e.g. `https://growi.example.com/*`
Master SAML Processing URL	ログイン後のコールバックURL (e.g. `https://growi.example.com/passport/saml/callback`)

設定名	設定値
Assertion Consumer Service POST Binding URL	GrowiのURL(e.g. `https://growi.example.org/`)
Assertion Consumer Service Redirect Binding URL	ログイン後のコールバックURL (e.g. `https://growi.example.com/passport/saml/callback`)
Logout Service Redirect Binding URL	ログイン後のコールバックURL (e.g. `https://growi.example.com/passport/saml/callback`)

Mappersタブで，Growiのユーザ情報として必要な情報と，keycloakで管理しているユーザ情報を紐付けます
"Create"ボタンをクリックして，以下の表の通り，マッピングするエントリを追加します
- まず"Mapper Type"のドロップダウンリストからTypeを選択すると，入力が必要となるフォームが表示されます

Name	Mapper Type	Property	Friendly Name	SAML Attribute Name	SAML Attribute NameFormat
username	User Property	username	username	username	Basic
id	User Property	id	id	id	Basic
email	User Property	email	email	email	Basic
firstName	UserProperty	firstname	firstname	firstname	Basic
lastName	UserProperty	lastname	lastname	lastname	Basic

設定名	設定値
SAML	ON
コールバックURL	ログイン後のコールバックURL (e.g. `https://growi.example.com/passport/saml/callback`)
エントリーポイント	keycloakの当該Realmに対するSAMLエントリポイント (e.g. `https://sso.example.com/auth/realms/dev/protocol/saml`)
発行者	issuers．Clientで設定したClient ID (今回の場合は`growi`)
証明書	後述
ID	id
ユーザー名	username
メールアドレス	email
姓	lastName
名	firstName
Attribute Mapping Options	チェックしない

KeycloakのRealms設定のときに取得した，x.509証明書を，当該欄に記載します．
- 文字列に，-----BEGIN CERTIFICATE-----と-----END CERTIFICATE-----の行を先頭と末尾にそれぞれ追加します

-----BEGIN CERTIFICATE-----
MII〜
-----END CERTIFICATE-----