この記事は
- Proxmoxのユーザー認証に，KeycloakのOIDCでSSOが使えるようにするための設定
- SSOユーザーに権限を与える方法
についてまとめる．
あらすじ
cloudflaredで公開しているKeycloakによる認証サービスを，他にも使えるところがないかと考えたところ，ProxmoxにOIDCのレルムを追加できる機能があったため試してみた．
作業内容
以下の記事を参考にした．
OIDCの設定手順
1. Keyclockのレルムの作成とクライアントの追加
これらに関しては，前回の記事が参考になるので，ここでは省略．
2. useridのMapperの追加
Proxmoxで用いるuseridが参照できるように設定する．Clientsで新たに作成したclientを選択し，その中のClient Scopeを選択する．
次に，＜client-id＞-dedicated (今回の場合はproxmox-dedicated)を選択し，Add Mapperを選択する．そして，From predefined mappersを選択し，その中からusernameを選択する．これで，Mapperを追加できる．
3. ユーザーの作成
Keycloakにユーザーを登録しておく．（GoogleなどのIdPを設定している場合は不要．前回の記事ではGoogleをIdPとしているため，この作業は省略した）
4. Proxmoxにkeycloak-OIDCを登録
Proxmoxのデータセンターから，アクセス権限内のレルムを選択する．そして，左上の追加をクリックし，OpenID Connectサーバーをクリックする．
そして，ポップアップが表示されたら，Issuer URLには，keyclockのURI/realms/<レルム名>を入力し，レルムにはレルム名，クライアントIDにはkeyclockで新たに作成したclient名，そしてクライアントキーには，keyclockで取得したものを設定する．（前回の記事で取得方法を解説済みなので省略）
また，自動作成ユーザーにチェックを入れ，ユーザー名の要求をusernameに設定しておく．最後に，右下の追加をクリックすることで，追加される．
セキュリティ的観点から，目的のユーザーでサインインし，ユーザーが登録されたことを確認した後は，自動作成ユーザーのチェックを解除することを強く勧める．
SSOユーザーへの権限の設定
今回は，ユーザーを個別にグループへ追加することで，権限を設定する方法を取る．
1. Poolsとグループの作成
ユーザーに与える属性として，グループを作成し，そのグループに対して割り当てるVMと権限をつなぐPoolsを作成する．
まず，グループはデータセンターのグループタブから，作成をクリックし，任意の名前で作成できる．また，Poolsも同様にPoolsタブから任意の名前で作成できる．名前が一致している必要はない．
2. Poolsにグループと権限を割り当てる
Poolsを作成すると，データセンターの下部に[設定したPoolsの名前]のタブが現れる．このタブとクリックすると，以下の画像のようにサマリ，メンバ，そしてアクセス権限が設定できる．
このうち，まずはアクセス権限の追加を行う．アクセス権限タブの追加をクリックすると，グループ・ユーザー・APIのどれに割り当てるかを選択することができる．今回は，グループに対して割り当てを行う．
グループは，先ほど作成したものを選択する．そして，ロールに関しては規定で存在しているものが複数あるため，グループに対して割り当てたい権限レベルに相当するロールを選択する．
SSOユーザーそれぞれに対して所属するグループを設定できるため，操作権限レベルごと，もしくは部門など業務内容ごとにグループを作成し，それぞれに権限を設定するという運用が想定される．
3. Poolsにメンバ（VM）を割り当てる
次に，Poolsのメンバタブで，VMを割り当てる．ここで割り当てられたVMは，VMの閲覧権限が与えられたグループのユーザーに対して表示されるようになる．また，グループの権限に従った操作が可能となる．
追加は簡単で，メンバタブの追加をクリックし，追加したいVMを選択し，追加する．
4. 自動作成されたユーザーをグループに割り当てる
最後に，ユーザーをグループに割り当てる．まず，ログイン画面でkeycloakのレルムを選択し，SSOログインを行う．その後，データセンターのユーザータブから自動生成されたユーザーを確認することができる．
自動生成されたユーザーを選択し，上部の編集をクリックする．そして表示されるポップアップのグループに，先ほど作成したグループを選択し，OKをクリックする．これで，ユーザーをグループに割り当てることができた．
まとめ
こんな感じで，ProxmoxにkeycloakのOIDCを設定するのは簡単にできるので，みんなKeycloakを運用して便利にProxmoxライフを満喫しましょう！