Keycloakの認可機能への理解を深めるため、実際に保護対象のリソースと認可ルール（ポリシー・パーミッション）を設定し、登録したクライアントとユーザーの組み合わせで取得したアクセストークンでの認可判定の動作を確認した。

今回はアクセス制御モデルとしてよく使われるロールベースアクセス制御（RBAC）を設定する。リソースの認可ルールとしてロールを条件（ロールベースポリシー）として登録し、ユーザーにロールを割り当てていない状態、割り当てた状態での認可判定を実施する。

なお、各種設定は管理コンソールを使わず、基本的にAdmin REST APIで行う。

検証環境

Docker（Docker Compose）で以下の構成の検証環境を立ち上げる。

Keycloak 11.02
Ubuntu 22.04（curlコマンドでAPIを呼び出すためのクライアントとして）

docker-compose.yml

version: '3'
services:
  curl_jq:
    tty: true
    build:
      context: .
  keycloak:
    image: quay.io/keycloak/keycloak:11.0.2
    ports:
      - 8080:8080
    environment:
      KEYCLOAK_USER: admin
      KEYCLOAK_PASSWORD: admin

※ 動作検証目的のため、Keycloakの管理者ユーザー名・パスワードを admin に設定している。

Dockerfile

FROM ubuntu:20.04
RUN apt-get update && apt-get install -y curl jq

動作確認手順・結果

管理者用アクセストークンを取得する関数を用意する。

BASE_URI=http://keycloak:8080/auth
get-token() {
  ACCESS_TOKEN=$(curl -s -X POST \
    "${BASE_URI}/realms/master/protocol/openid-connect/token" \
    -d "client_id=admin-cli" \
    -d "username=admin" \
    -d "password=admin" \
    -d "grant_type=password" \
    | jq -r '.access_token')
  echo ACCESS_TOKEN = ${ACCESS_TOKEN}
}

ロール（role-1）を登録する。

ROLE_NAME=role-1
get-token
ROLE_URI=$(curl -s -X POST \
  "${BASE_URI}/admin/realms/master/roles" \
  -H "Authorization: Bearer ${ACCESS_TOKEN}" \
  -H "Content-Type: application/json" \
  -D - \
  --data-binary @- << EOF | grep -oP '(?<=Location: ).+(?=\r)'
{
  "name": "${ROLE_NAME}"
}
EOF
)
echo ROLE_URI = ${ROLE_URI}
ROLE_ID=$(curl -s ${ROLE_URI} \
  -H "Authorization: Bearer ${ACCESS_TOKEN}" \
  | jq -r .id)
echo ROLE_ID = ${ROLE_ID}

リソースサーバー（resource-server-1）と保護対象となるリソース（resource-1）とrole-1を認可条件とするロールベースポリシー（policy-1）を登録する。
※ KeycloakではリソースサーバーはOpenID ConnectのConfidentialクライアントとして登録する。

RESOURCE_SERVER_CLIENT_ID=resource-server-1
RESOURCE_NAME=resource-1
POLICY_NAME=policy-1
get-token
RESOURCE_SERVER_ID=$(curl -s -X POST \
  "${BASE_URI}/admin/realms/master/clients" \
  -H "Authorization: Bearer ${ACCESS_TOKEN}" \
  -H "Content-Type: application/json" \
  -D - \
  --data-binary @- << EOF | grep -oP '(?<=clients/).+(?=\r)'
{
  "clientId": "${RESOURCE_SERVER_CLIENT_ID}",
  "protocol": "openid-connect",
  "publicClient": false,
  "serviceAccountsEnabled": true,
  "authorizationServicesEnabled": true,
  "authorizationSettings": {
    "resources": [{ "name": "${RESOURCE_NAME}", "displayName": "Resource 1" }],
    "policies": [{
      "type": "role",
      "logic": "POSITIVE",
      "decisionStrategy": "UNANIMOUS",
      "name": "${POLICY_NAME}",
      "config": { "roles": "[{\"id\":\"${ROLE_ID}\"}]" }
    }]
  }
}
EOF
)
echo RESOURCE_SERVER_ID = ${RESOURCE_SERVER_ID}

登録したリソース（resource-1）とポリシー（policy-1）を紐づけるパーミッション（permission-1）を設定する。

get-token
curl -s -X POST \
  "${BASE_URI}/admin/realms/master/clients/${RESOURCE_SERVER_ID}/authz/resource-server/permission/resource" \
  -H "Authorization: Bearer ${ACCESS_TOKEN}" \
  -H "Content-Type: application/json" \
  --data-binary @- << EOF | jq .
{
  "type": "resource",
  "logic": "POSITIVE",
  "decisionStrategy": "UNANIMOUS",
  "name": "permission-1",
  "resources": ["${RESOURCE_NAME}"],
  "policies": ["${POLICY_NAME}"]
}
EOF

リソースの利用者となるクライアント（client-1）を登録する。

CLIENT_ID=client-1
get-token
curl -s -X POST \
  "${BASE_URI}/admin/realms/master/clients" \
  -H "Authorization: Bearer ${ACCESS_TOKEN}" \
  -H "Content-Type: application/json" \
  --data-binary @- << EOF
{
  "clientId": "${CLIENT_ID}",
  "protocol": "openid-connect",
  "publicClient": true
}
EOF

ユーザー（user-1）を登録してパスワードを設定する。

USER_NAME=user-1
USER_PASSWORD=password
get-token
USER_ID=$(curl -s -X POST \
  "${BASE_URI}/admin/realms/master/users" \
  -D - \
  -H "Authorization: Bearer ${ACCESS_TOKEN}" \
  -H "Content-Type: application/json" \
  --data-binary @- << EOF | grep -oP '(?<=users/).+(?=\r)'
{
  "username": "${USER_NAME}",
  "enabled": true
}
EOF
)
echo USER_ID = ${USER_ID}
get-token
curl -s -X PUT \
  "${BASE_URI}/admin/realms/master/users/${USER_ID}/reset-password" \
  -H "Authorization: Bearer ${ACCESS_TOKEN}" \
  -H "Content-Type: application/json" \
  --data-binary @- << EOF
{
  "type": "password",
  "value": "${USER_PASSWORD}",
  "temporary": false
}
EOF

ユーザー（user-1）にロール（role-1）を割り当てない状態で認可判定を行うとアクセス拒否となる。
※ アクセストークン取得は簡易的にPassword Flowで行っている。

CLIENT_ACCESS_TOKEN=$(curl -s -X POST \
    "${BASE_URI}/realms/master/protocol/openid-connect/token" \
    -d "grant_type=password" \
    -d "client_id=${CLIENT_ID}" \
    -d "username=${USER_NAME}" \
    -d "password=${USER_PASSWORD}" \
    | jq -r '.access_token'
)
echo CLIENT_ACCESS_TOKEN = ${CLIENT_ACCESS_TOKEN}
curl -s -X POST \
  "${BASE_URI}/realms/master/protocol/openid-connect/token" \
  -H "Authorization: Bearer ${CLIENT_ACCESS_TOKEN}" \
  -d "grant_type=urn:ietf:params:oauth:grant-type:uma-ticket" \
  -d "response_mode=decision" \
  -d "audience=${RESOURCE_SERVER_CLIENT_ID}" \
  -d "permission=${RESOURCE_NAME}" \
  | jq .
# => { "error": "access_denied", "error_description": "not_authorized" }

ユーザー（user-1）にロール（role-1）を割り当てる。

get-token
curl -s -X POST \
  "${BASE_URI}/admin/realms/master/users/${USER_ID}/role-mappings/realm" \
  -H "Authorization: Bearer ${ACCESS_TOKEN}" \
  -H "Content-Type: application/json" \
  --data-binary @- << EOF | jq .
[{
  "id": "${ROLE_ID}",
  "name": "${ROLE_NAME}"
}]
EOF

再度認可判定を行うとアクセス許可となる。

CLIENT_ACCESS_TOKEN=$(curl -s -X POST \
    "${BASE_URI}/realms/master/protocol/openid-connect/token" \
    -d "grant_type=password" \
    -d "client_id=${CLIENT_ID}" \
    -d "username=${USER_NAME}" \
    -d "password=${USER_PASSWORD}" \
    | jq -r '.access_token'
)
echo CLIENT_ACCESS_TOKEN = ${CLIENT_ACCESS_TOKEN}
curl -s -X POST \
  "${BASE_URI}/realms/master/protocol/openid-connect/token" \
  -H "Authorization: Bearer ${CLIENT_ACCESS_TOKEN}" \
  -d "grant_type=urn:ietf:params:oauth:grant-type:uma-ticket" \
  -d "response_mode=decision" \
  -d "audience=${RESOURCE_SERVER_CLIENT_ID}" \
  -d "permission=${RESOURCE_NAME}" \
  | jq .
# => { "result": true }

参考

Keycloakドキュメント