入門編#

基礎知識を習得しよう

• 第1章 Keycloakを理解するための第一歩
  • 1.1 認証と認可およびKeycloakの概要
  • 1.2 Keycloakの動作要件とディレクトリー構成
  • 1.3 Keycloakのセットアップと動作確認
  • 1.4 本章のまとめ
• 第2章 OAuthとOIDCの基礎知識
  • 2.1 OAuthのフロー
  • 2.2 アクセストークンとリフレッシュトークン
  • 2.3 トークンの無効化と認可判断
  • 2.4 OIDCのフロー
  • 2.5 本章のまとめ
• 第3章 SSOの基礎知識
  • 3.1 SSOを理解する
  • 3.2 標準プロトコルによるSSO
  • 3.3 本章のまとめ
• 第4章 Keycloakの基礎を理解する
  • 4.1 Keycloakの用語解説
  • 4.2 セッションとトークンの設定
  • 4.3 Keycloakの情報源
  • 4.4 本章のまとめ

• 認証認可について

  • Authenticationを略して、AuthN
  • Authorizationを略して、AuthZ
  • と呼ばれることがあるらしい

• KeyCloakは IAM(Identity and Access Management) のソフトウェア

  • IAM: 適切な人やマシンが適切なリソースに適切な理由のため適切なタイミングでアクセスできるようにするもの
    • *ガートナー社定義
  • IAMの中でも、「認証と認可」を担っている
  • IAMで認証・認可以外に重要な機能
    • IDライフサイクル管理: 入社/異動/退職に合わせてアカウントと権限を自動で付与・変更・剥奪する（JML: Joiner/Mover/Leaver）
    • ユーザー/組織情報の統合: 人事DBやディレクトリ（LDAP/AD）と連携し、ID情報を一元管理する
    • 特権アクセス管理（PAM）: 管理者アカウントの利用を最小化し、払い出し・記録・承認を厳格化する
    • 監査ログと追跡性: 「誰が・いつ・どの権限で・何をしたか」を証跡として残し、監査に対応する
    • セルフサービスと運用効率化: パスワードリセット、アクセス申請、承認フローをユーザー主導で回せるようにする
  • IAMで押さえるべき実務ポイント
    • 最小権限の原則: 初期権限は必要最小限にし、ロール設計は職務ベース（RBAC）を基本にする
    • 権限の定期レビュー: 付与しっぱなしを防ぐため、棚卸し（アクセスレビュー）を定期実施する
    • 職務分掌（SoD）違反の防止: 申請と承認を同一人物に集中させないなど、統制ルールを設ける
    • 可用性と災害対策: IAM停止が業務停止に直結するため、冗長化・バックアップ・復旧手順を準備する
    • 法令/規制対応: 個人情報保護や各種ガイドラインに合わせ、保持期間やマスキング方針を明確化する

timeline
    title Keycloakの歴史（主要マイルストーン）
    2013-07 : GitHubで初公開
            : Red Hat/JBossコミュニティ主導で開発が進展
    2022 : Keycloak 17.0.0
         : WildFlyベースからQuarkusベースへ大規模刷新
         : クラウドネイティブ対応を強化
    2023-04 : CNCF Incubatingプロジェクトとして承認

Quarkusについて#

Quarkusは、コンテナー/Kubernetes環境を前提に最適化されたJavaフレームワーク。 特に「起動の速さ」「省メモリ」「運用しやすさ」を重視しており、クラウドネイティブなJava実行基盤として採用が進んでいる。 Keycloakもバージョン17以降でQuarkusベースに移行し、従来のWildFlyベースより軽量で予測可能な運用がしやすくなった。

• Quarkusの主な特徴
  • 高速起動: 開発時のホットリロードと本番時の短時間起動
  • 省メモリ: コンテナー密度を上げやすい
  • Kubernetes親和性: 設定・ヘルスチェック・メトリクス連携がしやすい
  • JVMモード/Native Imageモード: 要件に応じて実行形態を選択可能

トークン検証について#

• 以下の２通りがある
  • ローカルでのトークン検証
    • https://www.jwt.io/ja/librariesに対応する言語とのライブラリーが紹介されている
  • トークンイントロスペクション

admin-cli#

• 各Realmには admin-cliクライアントが作成される
  • このクライアントを使ってKeyCloakのAdminRESTAPIを呼び出せる

KeyCloakコミュニティー#

• 公式な最新情報

  • KeyCloak公式Webサイトのブログ
    • https://keycloak.org/blog
  • KeyCloakのXアカウント
    • https://x.com/keycloak

• 質問をしたい

  • Slack
    • https://slack.cncf.io/
      • keycloak,#keycloak-devチャネル
  • Discourse
    • https://keycloak.discourse.group/
  • GitHub Disscussions
    • https://github.com/keycloak/keycloak/discussions
  • メーリングリスト
    • ユーザー向け；https://groups.google.com/g/keycloak.user/
    • 開発者向け：https://groups.google.com/g/keycloak.dev/
      • Slackなどが出てきてあまり活発でなくなった

• これらについては公式ページにも案内あり、その時の最新は公式から取得する必要あり

  • Questions and help: https://www.keycloak.org/community

• バグ報告や機能追加リクエストをしたい

  • Issueを作成する

• コードやドキュメントの開発に貢献したい

  • Contributionガイドを確認しPullRequestを提出

• 最新の標準仕様の開発に携わりたい

  • https://github.com/keycloak/keycloak-oauth-sig/tree/main

• ユーザーや開発者と交流したい

  • https://community.cncf.io/cloud-native-security-japan/
  • https://www.keycloak.org/community

実践編#

実際の3つのユースケースを題材に基本的な使い方と設定方法をマスターしよう

• 第5章 OAuthに従ったAPI認可の実現
  • 5.1 API認可を実現する環境の構築
  • 5.2 認可コードフローによるアクセストークン取得
  • 5.3 API呼び出し時の認可判断とスコープの設定
  • 5.4 トークンのリフレッシュと無効化
  • 5.5 OAuth/OIDCのセキュリティー確保
  • 5.6 API認可で重要なKeycloakの利用方法
  • 5.7 本章のまとめ
• 第6章 SSOを実現する
  • 6.1 本章で取り扱うユースケース
  • 6.2 Spring Securityを用いた認証連携
  • 6.3 リバースプロキシーを用いた認証連携
  • 6.4 JavaScriptアダプターを用いた認証連携
  • 6.5 SSOとSLOの動作確認
  • 6.6 その他のSSOの動向と概略
  • 6.7 本章のまとめ
• 第7章 さまざまな認証方式を用いる
  • 7.1 認証の強化
  • 7.2 外部ユーザーストレージによる認証
  • 7.3 外部アイデンティティープロバイダーによる認証
  • 7.4 本章のまとめ

応用編#

実システム利用を見据えた使い方を知ろう

• 第8章 Keycloakのカスタマイズ
  • 8.1 カスタマイズの可能な箇所と仕組み
  • 8.2 画面のカスタマイズ
  • 8.3 SPIの新規プロバイダーの開発
  • 8.4 Keycloakのビルド
  • 8.5 カスタムコンテナーイメージの作成
  • 8.6 本章のまとめ
• 第9章 Keycloakの非機能面の考慮ポイント
  • 9.1 HA構成
  • 9.2 HTTPSの設定
  • 9.3 エンドポイントの設定
  • 9.4 可観測性（Observability）
  • 9.5 アップグレード
  • 9.6 本章のまとめ