KeycloakのSAML認証を利用してWordpressの連携を検証します。
Keycloakの公式ドキュメントでは、SAMLよりもOIDCを推奨すると記載がありますが、SAMLは、引き続き多くのプロダクトで採用しているとされています。Keycloakでは、標準で SAML2.0とOIDC がSSO認証プロトコルとして利用できます。標準で利用できるSSO認証プロトコルのうち、今回は、SAML認証を検証してみます。
※本記事は、Keycloakのバージョンアップに伴い、「KeycloakでSAMLを使ってみる（WordPress編）」の記事を最新化したものです。

本記事でやること

Amazon Lightsailを用いたWordPress構築
Keycloak側の設定(Idp)
WordPress側の設定(SP)
動作確認

SAMLの概要

SAMLとは「Security Assertion Markup Language」の頭文字を取ったもので「サムル」と読みます。ドメインの異なるシステム間で安全に認証・認可情報の伝送を行うためOASIS(構造化情報標準促進協会）で定められたXMLベースのマークアップ言語規格です。SSO（シングルサインオン）やID連携などでSAMLを利用した認証が行われています。

Amazon Lightsailを用いたWordPress構築

WordPress構築

WordPressの構築にはAmazon Lightsailを利用する。LightsailはEC2などをコンソールから構築するよりも簡単で、選択項目も少なく、WordPressやApacheなどは全てインストールされるため、WordPressインストール～初期起動までを手早く構築できる。今回はこちらのチュートリアルに沿ってWordPressを起動させる。

プラグイン導入

SAMLを用いたSSOを実現するため、「SAML Single Sign On – SSO Login」を導入する。
導入はWordPressの管理画面のPluginsから「SAML」で検索するとすぐに出てくる。

Install Nowボタンを押下することで導入でき、インストール後のプラグインで「Activate」を選択することで有効化される。

プラグインの導入が完了すると、以下のようなメタデータを確認することができるようになります。
こちらのメタデータは後ほどKeycloakの設定で利用します。

Keycloak側の設定(Idp)

以下の手順は、管理者ユーザーでのログインを前提として行います。
なお、keycloakの基本的セットアップについてはこちらを参照ください。

Realmの追加

画面左上の「レルムの選択」メニューから「Create Realm」ボタンをクリックします。下記の通りにRealmを作成します。

Realm name : wordpress
enabled : On

クライアントの追加・設定

作成したRealmでWordpress用のClientを作成する。

Realmから「wordpress」を選択し、「Clients」のメニューを選択する。
「Create client」ボタンを押下して、Clientの作成画面を開く。
　　以下の通り、必要な項目を入力して「Next」ボタンを押下する。
　　　・Client type：SAML
　　　・Client ID：SPのSP-EntityID / Issuer
特に変更せず、そのまま「Next」ボタンを押下する。
以下の通り、必要な項目を入力して「Save」ボタンを押下する。
　　・RootURL：SPのBase URL
　　・Valid redirect URIs ：SPのACS (Assertion Consumer Service) URL
Client作成されたら以下の通り設定を変更する。
　Settingsタブ
　　・Name ID format：email
　　・Force Name ID Format：off
　　・Force POST Binding：off

　Keysタブ
　　・Client signature required：off

　Advancedタブ
　　・Assertion Consumer Service POST Binding URL：SPのACS URL

User追加

wordpressのRealmに適当なユーザーを追加する。

Mapper追加

作成したClientに対してMapperを追加する。

Client details　→　Client Scopes　→　Dedicated scopesと選択を選択して、Mapperの追加画面を開く。

Add predefined maperを選択して、X500 givenName, X500 surname, X500 emailの3つを追加する。

正しく追加される以下のように表示される。

SP設定用の設定ファイル取得

Idpの情報をSPに連携するため、Realm settings →　Generalを開き、SAML 2.0 Identity Provider Metadata(EndpointsのURL)を取得する。

WordPress側の設定(SP)

SP側のSSOを設定していきます。

設定のアップロード

WordpressのメニューからminiOrange SAML 2.0 SSOを選択し、Keycloakのアイコンを押下する。

Enter metadata URLにIdpのMetadataのURLを入力し、Fetch Metadataボタンを押下する。

正常にIdPの情報が適用されると以下のように表示される。

属性のマッピング

こちらに関して、今回個別に設定をする必要はありませんが、無料版のプラグインでは、Wordpress ユーザーの Email および Username 属性に対して NameID のみがサポートされており、ユーザーが SSO を実行すると、IDP から送信された NameID 値が、WordPress ユーザーの電子メールとユーザー名にマッピングされます。

ロールマッピング

無料版のプラグインでは、管理者以外のすべてのユーザーが SSO を実行するときに割り当てられるデフォルトの役割を選択できます。
Attribute/Role Mappingタブに移動し、Role Mappingセクションに移動します。
Default Roleを選択し、Update ボタンを押下する。