Drupal の Simple OAuth モジュールを使って OIDC (OpenID Connect) サーバーを構築し、別の Drupal サイトをクライアントとして SSO ログインを行う動作確認を行います。

環境

macOS (Apple Silicon)
DDEV v1.24.10
Drupal 11.3.2
PHP 8.3

構成概要

役割	サイト名	URL	モジュール
OIDC サーバー (IdP)	drupal-oidc-server	http://drupal-oidc-server.ddev.site:33000	Simple OAuth
OIDC クライアント (RP)	drupal-oidc-client	http://drupal-oidc-client.ddev.site:33001	OpenID Connect

備考：見分けやすくするため、IdP は青（#1565c0）、RP は緑（#2e7d32）のテーマカラーを設定しています。

インストールプロファイルについて

本記事では、環境構築を簡単に行うためのインストールプロファイルを使用します。プロファイルを使うことで、モジュールの有効化や設定が自動で行われます。

プロファイルは以下のリポジトリで公開しています：

プロファイルのファイル構成

web/profiles/oidc_server_profile/
├── oidc_server_profile.info.yml
├── oidc_server_profile.install
└── config/
    └── install/
        ├── simple_oauth.settings.yml
        └── olivero.settings.yml

web/profiles/oidc_client_profile/
├── oidc_client_profile.info.yml
├── oidc_client_profile.install
└── config/
    └── install/
        ├── openid_connect.settings.yml
        ├── openid_connect.client.drupal_server.yml
        └── olivero.settings.yml

サーバー側の構築

1. DDEV プロジェクトの作成と Drupal のインストール

mkdir drupal-oidc-server
cd drupal-oidc-server
ddev config --project-type=drupal --php-version=8.3 --docroot=web --project-name=drupal-oidc-server
ddev start
ddev composer create drupal/recommended-project:^11
ddev composer require drush/drush 'drupal/simple_oauth:^6.1'

2. プロファイルの配置

drupal-oidc-example リポジトリからプロファイルをコピーします。

git clone https://github.com/tarohida/drupal-oidc-example.git /tmp/drupal-oidc-example
cp -r /tmp/drupal-oidc-example/web/profiles/oidc_server_profile web/profiles/

3. プロファイルを使ってインストール

ddev drush site:install oidc_server_profile --account-name=admin --account-pass=admin -y

プロファイルが自動で以下の設定を行います：

Simple OAuth モジュールの有効化
テーマカラーを青（#1565c0）に設定
デフォルト Consumer（drupal_oidc_client）の作成
管理者メールアドレスの設定

4. RSA 鍵ペアの生成

Simple OAuth はトークンの署名に RSA 鍵を使用します。セキュリティのため、鍵ファイルは Web ルート外に配置します。

ddev exec mkdir -p /var/www/oauth_keys
ddev exec openssl genrsa -out /var/www/oauth_keys/private.key 2048
ddev exec openssl rsa -in /var/www/oauth_keys/private.key -pubout -out /var/www/oauth_keys/public.key
ddev exec chmod 600 /var/www/oauth_keys/private.key
ddev exec chmod 600 /var/www/oauth_keys/public.key

5. 設定の確認

管理画面「Configuration > People > Simple OAuth」（/admin/config/people/simple_oauth）で鍵ファイルのパスが設定されていることを確認します。

「Configuration > Web services > Consumers」（/admin/config/services/consumer）で Consumer が作成されていることを確認します。

プロファイルによって作成される Consumer の設定値：

項目	値
Label	Drupal OIDC Client
Client ID	drupal_oidc_client
Secret	client_secret_test_123
Is Confidential	チェック
Is this consumer 3rd party?	チェック
Redirect URI	http://drupal-oidc-client.ddev.site:33001/openid-connect/drupal_server
Grant types	Authorization Code, Refresh Token
Access token expiration	3600

クライアント側の構築

1. DDEV プロジェクトの作成と Drupal のインストール

mkdir drupal-oidc-client && cd drupal-oidc-client
ddev config --project-type=drupal --php-version=8.3 --docroot=web --project-name=drupal-oidc-client
ddev start
ddev composer create drupal/recommended-project:^11
ddev composer require drush/drush 'drupal/openid_connect:^3@alpha'

現時点では OpenID Connect モジュールは alpha 版のみのため、stability フラグを指定してインストールします。

2. プロファイルの配置

drupal-oidc-example リポジトリからプロファイルをコピーします。

cp -r /tmp/drupal-oidc-example/web/profiles/oidc_client_profile web/profiles/

（サーバー側の構築時にリポジトリをクローン済みの場合）

もしくは、リポジトリを再度クローンする場合：

git clone https://github.com/tarohida/drupal-oidc-example.git /tmp/drupal-oidc-example
cp -r /tmp/drupal-oidc-example/web/profiles/oidc_client_profile web/profiles/

3. プロファイルを使ってインストール

ddev drush site:install oidc_client_profile --account-name=admin --account-pass=admin -y

プロファイルが自動で以下の設定を行います：

OpenID Connect モジュールの有効化
テーマカラーを緑（#2e7d32）に設定
デフォルト OpenID Connect クライアント（Drupal OIDC Server）の作成
ログインフォームへの OIDC ボタン表示（user_login_display: above）
既存ユーザーとの連携を許可（connect_existing_users: true）
管理者メールアドレスの設定

4. 設定の確認

「Configuration > People > OpenID Connect」（/admin/config/people/openid-connect）でクライアントが作成されていることを確認します。

プロファイルによって作成される OpenID Connect クライアントの設定値：

項目	値
Name	Drupal OIDC Server
Client ID	drupal_oidc_client
Client secret	client_secret_test_123
Authorization endpoint	http://drupal-oidc-server.ddev.site:33000/oauth/authorize
Token endpoint	http://drupal-oidc-server.ddev.site:33000/oauth/token
UserInfo endpoint	http://drupal-oidc-server.ddev.site:33000/oauth/userinfo
Scopes	openid email profile

動作確認

ログインフロー

クライアント側のログインページ（http://drupal-oidc-client.ddev.site:33001/user/login）にアクセスします。ログインフォームの上に「Drupal OIDC Server」ボタンが表示されています。

「Drupal OIDC Server」ボタンをクリックします。
サーバー側の認可画面にリダイレクトされます。未ログインの場合はまずログインフォームが表示されます。

サーバー側で admin / admin でログイン後、認可確認画面が表示されます。
「Authorize」をクリックすると、クライアント側にリダイレクトされ、ログインが完了します。

Simple OAuth のエンドポイント一覧

エンドポイント	パス	用途
Authorization	/oauth/authorize	認可コード取得
Token	/oauth/token	アクセストークン取得
UserInfo	/oauth/userinfo	ユーザー情報取得（OIDC）
JWKS	/oauth/jwks	公開鍵取得（JWT 検証用）

トラブルシューティング

"The email address is already taken" エラー

クライアント側で connect_existing_users を有効にするか、テスト用に別のメールアドレスを持つユーザーを作成してください。本記事のプロファイルでは、サーバー側とクライアント側で異なるメールアドレスを設定しているため、このエラーは発生しません。

scopes 関連のエラー

OpenID Connect モジュールの Generic クライアント設定で scopes が未設定だとエラーになります。本記事のプロファイルでは openid email profile を設定済みです。

end_session_endpoint の警告

Generic クライアントでは end_session_endpoint が必須項目として扱われる場合があります。本記事のプロファイルでは空文字列を設定して警告を回避しています。

RSA 鍵が見つからないエラー

サーバー側で RSA 鍵ペアを生成していない場合、トークン発行時にエラーが発生します。「RSA 鍵ペアの生成」の手順を実行してください。

終わりに

Drupal の Simple OAuth モジュールを使って OIDC サーバーを構築し、別の Drupal サイトから SSO ログインできることを確認しました。

インストールプロファイルを使用することで、モジュールの有効化や設定を自動化し、環境構築の手間を大幅に削減できます。

Simple OAuth は League OAuth2 Server をベースにしており、Authorization Code Flow、Client Credentials、Refresh Token などの標準的な OAuth 2.0 / OIDC フローをサポートしています。