20200605_第8回セキュリティ技術の会(Q&A)

Transcript

1. # Question Answer 1 デブコンフには日本人はどれくらい参加していましたか？ 乗松さん＋中村くらいしかいなかったです。 2 EUライセンスって、何でしょう？ contributionに制約とかありませんでしたか？ European Union Public Licenseのことです。GPLをベースに、欧州での利用を想定した新たなラ イセンスです。特にContributionに制約はありません。midPointは、Apache License / European Union Public Licenseのデュアルライセンスとして提供されています。 3 スプリングセキュリティって認証機能がいろいろ詰め込まれていて プロジェクトで使うの大変なイメージです。プロジェクトで使うと きの注意点とか、何かあれば。。 認証機能がいろいろ詰め込まれている、同感です。利用する機能を明確にして、シンプルに使う のがいいのかなと思っています。 4 ミッドポイントってキークロークのSPIみたいなカスタマイズポイ ントってあるんですか？ 色々なレベルのカスタマイズ機能があります。 https://wiki.evolveum.com/display/midPoint/Customization が参考になるかと思います。 5 シンクイットでキークローク、API特集また開始されましたね！ 今後のネタとかもし決まってたら言える範囲で知りたいです！ 単純な認可サーバとしての使い方の他、OAuthのセキュリティベストプラクティスに沿った Keycloakの機能の使い方も予定しています。 https://thinkit.co.jp/series/9721 6 midPointによる各種サービスによるID Provisioningは、どのような サービス、システムに対応してるのでしょうか？また、ID Provisioningではどういった標準があり、どの程度midPointは対応 しているのでしょうか？ midPointには各種コネクタが備わっており様々なサービス、システムにプロビジョニング可能で す。コネクタの一覧は下記を参照してください。 https://wiki.evolveum.com/display/midPoint/Identity+Connectors あとプロビジョニングの標準規格としてSCIMというものがあります。midPointはSCIMにも対応 しています。 7 ありがとうございます。質問が遅くなり申し訳ございません。 お時間がありましたら質問させてください。 WebアプリからKeycloakの認証を行う場合は、Keycloakのログイ ン画面を表示させる以外に以下のようなことは可能でしょうか。 ・外部のJava等で作っているログイン画面を表示させKeycloakに連 携させる。 ・クライアント側からKeycloak APIを利用する。 独自のログイン画面からログインを行う方式は推奨されません。Keycloakのログイン画面を使う ことでOTPやFIDO2と組み合わせた認証フローの実現、監査ログの取得、ログインのブルート フォースアタック対策などができるわけなので、それを捨てる or 再実装することになります。 とはいえ、どうしても、ということがあるとは思います。下記スレッドで少し議論したことがあ るのですが、独自の画面を作るにしても、独自の画面とOIDCで連携するようメンテナに言われま した。独自の画面に最低限のOIDCを実装する必要が出てきますので楽ではないです。 https://lists.jboss.org/pipermail/keycloak-dev/2017-June/009599.html また、下記に記載のSPI拡張により、独自のREST APIを追加して実装することは技術的には可能 かもしれませんが、何か穴ができるかもしれず、自己責任で頑張る必要あります。 https://www.keycloak.org/docs/latest/server_development/index.html#_extensions_rest OSSセキュリティ技術の会 第八回勉強会のQ&A