ワンオペでも怖くない！認証基盤運営のイロハ

KeycloakCon 2025 にて登壇した際の資料です。
当日の資料は言語を英語に限定されていました。

自分の得た体験やノウハウがより広く誰かのために役立ったら嬉しいなと思い、改めて日本語の資料として公開します。

Transcript

1. Chotaro Iwasaki giftee, inc ワンオペでも怖くない！認証基盤運営のイロハ 1
2. KeycloakCon 2025 発表資料の日本語版 元々の資料は こちら 2
3. Chotaro Iwasaki • 株式会社ギフティ • 所属：Platform Unit ◦ 組織横断的な技術課題の解消 ◦ エンジニアチームのイネーブリング • 好きな寿司ネタは玉子 Who Are You? 3
4. • eGift Platform • eGift : デジタルバウチャー ◦ 商品やサービスと引き換えできるモノ • “Giftify Everything” : BtoC, BtoB, BtoE, GtoC 株式会社ギフティ 4
5. • ギフティでの 1 年に及ぶ Keycloak 活用事例 • Keycloak 運用におけるちょっとした TIPS この発表の主題 5
6. Why do we use Keycloak ? 6
7. • ギフティでは多くのサービスが開発されている • それぞれのサービスはそれぞれの認証処理を実装している • ユーザーを共有しているサービスもいくつか存在している • 「認証」分野は発展し続けており、高度な専門性が要求される 認証に関する横断的な課題 7
8. • SSO(Single Sign-On) ができない • メンテナンスに高いオーバーヘッドがかかる • 認証処理を近代化することが難しい ◦ 例: パスキーの導入や依存ライブラリの更新 重複によるコストとリスク 8
9. • 認証基盤に認証処理を委譲する • 認証方法を更新するには、認証基盤を更新することで対応する 認証基盤による解決方針 9
10. より手頃な価格で、かつ継続的な手段が必要 • コストシミュレーションを重ねたが、適合する IDaaS が見つからなかった • ユーザーごとの収益を十分に得られない事業モデル • 近い将来、コストを減らすために出口戦略を決める必要が発生しそう IDaaS ではダメなのか？ 10
11. • すでに日本語で書かれた書籍が存在 • ユーザーや開発者のコミュニティが活発 • CNCF によってサポートされている • 自分自身が Keycloak の使い方をよく知っている ◦ 初めての試みである都合、この要素が大きかった 選ばれたのは、 Keycloak でした 11
12. How did we introduce platform? 12
13. • 新規の技術やアプローチは怖いもの • OIDC についてあまり内部の開発者は知らなかった ◦ いくつかのサービスでのみ使用 • Keycloak というツールを使うことに集中してもらうことで、結果的に OIDC に習熟してもらう ◦ 特定のツールに慣れることで、漠然とした恐怖をなくす OIDC という標準ではなく Keycloak を推す 13
14. • ギフティのサービスは各々の認可処理を持っている • Keycloak は社内では新規のサービスであり、既存の他のサービスがこ れに依存するべきではない • あくまで認証方法のみを提供する、という方針を明確にした 認可は行わず、認証のみを提供する 14
15. 現在は Step 3 なので、まだまだ旅路は長い 1. サンドボックス環境での提供 2. 新規サービスへの導入 3. 複数サービスと協調しながらの Keycloak 運用 4. 既存サービスへの導入 5. to be continued … 旅路の見通し 15
16. How do we operate Keycloak ? 16
17. • More Usecases • More Users • More realms • More clients • More … Keycloak スケーリングの痛み 17
18. • OIDC は初心者には難しい • Keycloak の運用はもっと難しい ↓ 1人の管理者が、全ての運用タスクを実施する責任を持つ (これがもっともシンプルな解決方法なので) 管理者は孤独 18
19. • 管理権限の委譲 • グループウェア経由のみに限定した認証方法 負担を軽くするための二つのアプローチ 19
20. • 部分的な管理ならば難しくない • client の設定だけでもセルフで設定できると、サービスにとってメリットが ある • 全ての項目ではなく、特定項目の設定だけを可能にする 管理権限の委譲 20
21. master realm 上での RBAC(Role-Based Access Control) • Keycloak には User Group の機能がある • master realm の User Group には、realm-roles をアサインすること ができる • realm-roles は特定の realm における 特定の項目を設定する権限を 規定する 管理権限の委譲 21
22. 22 管理権限の委譲 • User Group はそれぞれ Role がアサインさ れている • realm を操作する権限を持った Role が、 User Group を通してユーザー自身へアサイ ンされる仕組みになっている
23. 23 • 複数の realm を管理するユーザーもいる • それぞれのユーザーは、複数の User Group に所属することで Role を得る 管理権限の委譲
24. 24 • User Group を通してアサインされた Role で権限を持たない realm については、ユー ザーは操作することができない 管理権限の委譲
25. • ここで紹介した master realm を用いた方法は、ドキュメント上は推奨さ れていない • V26.2.0 では、新しくより細やかな管理権限の仕組みが導入されている ◦ これを使えば、より適切な権限の管理ができるはず ◦ refs: https://www.keycloak.org/2025/05/fgap-kc-26-2 補足情報 25
26. • master realm へのログインには、強力な認証が求められる • パスワードのみの認証方法では非常に脆弱であり、アカウント奪取の 危険が常に伴う グループウェア経由のみに限定した認証方法 26
27. • 外部 IdP による認証の導入は有効な解決方法 • ギフティでは、OneLogin によって保護された Google Workspace を活 用している • OneLogin は MFA 認証を要求するため、強力な認証である ↓ • パスワードのみの認証を禁止 • Google 認証のみを唯一の認証方法に設定 Google Workspace でのログインに限定する 27
28. 28 • パスワードのみの認証方法を禁止 • 唯一の認証方法として、Google 認証 を提供 グループウェア経由のみに 限定した認証方法
29. • 早めに委譲しよう ◦ ボトルネックになってしまう前に、権限を委譲しよう • 個人ではなく、グループで管理しよう ◦ グループへの権限付与が管理をよりセキュアかつ簡単にする • 管理画面には、パスワードレス認証で ◦ 全ての特権アカウントに MFA のような強力な認証方法を強制させよう ポイント 29
30. まとめ 30
31. • ギフティでの 1 年に及ぶ Keycloak 活用事例 • Keycloak 運用におけるちょっとした TIPS トピックの振り返り 31
32. • ID 管理における課題を解決し、OpenID Connect (OIDC)によるセキュ アなログイン機能を可能にする • 一方で導入や設定の複雑さは初心者にとって大きなハードルになってい る Keycloak は強力で複雑なツール 32
33. Keycloak の利用者として、我々は 1 人ではない • ゼロからギフティに Keycloak を導入した • 多くの課題はあったが、公式のドキュメントやコミュニティ上のナレッジが 解決してくれた • 下手に工夫を考えるよりも、Keycloak にすでに用意されている機能を使 えば解決できるのが大半 ◦ “Doing more with less.” ワンオペから始めた旅路 33
34. Keycloak は強力なコミュニティを持っている • Slack • GitHub Discussions • Google Groups • Discourse Forum これらのチャンネルを駆使して情報を収集することが有効 コミュニティが共にあらんことを 34
35. 私たちの旅路はコミュニティやそこで共有されていた知識なしでは歩めません でした 本日、自分の経験を共有し、恩返しをする機会を得られたことを非常に嬉しく 思っています このプレゼンテーションが少しでもコミュニティに貢献できれば幸いです To My Fellow Keycloakers 35
36. 36 Thank You for Listening !