Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Speaker Deck
PRO
Sign in
Sign up for free
KeycloakでSSOに入門する
Hiroyuki Wada
February 09, 2022
Technology
0
310
KeycloakでSSOに入門する
2022/02/09(水)に開催された「OSSセキュリティ技術の会 第10回勉強会」の資料です。
https://secureoss-sig.connpass.com/event/235671/
Hiroyuki Wada
February 09, 2022
Tweet
Share
Other Decks in Technology
See All in Technology
Google Cloud Updates 2022/05/16-05/31
no24oka
2
110
Autonomous Database Cloud 技術詳細 / adb-s_technical_detail_jp
oracle4engineer
PRO
10
18k
Accelerated Computing for NLP on AWS
shokout
1
260
Custom AppをIP制限ありのままで審査に通す方法
yusuga
0
700
eBPF for Security Observability
lizrice
0
220
サイボウズの アジャイル・クオリティ / Agile Quality at Cybozu
cybozuinsideout
PRO
4
2.5k
OPENLOGI Company Profile
hr01
0
730
【SAP知らない人向け】SAP on AWS 個人学習メモ/sap-on-aws-study
emiki
3
2.4k
約6年間運用したシステムをKubernetesに完全移行するまで/Kubernetes Novice Tokyo
isaoshimizu
6
950
ZephyrRTOSのLongan Nanoへの移植
tokitahiroshi
0
110
今どきのLinux事情
tokida
44
36k
実際にリビルドを完遂してみて
tmiura0203
0
100
Featured
See All Featured
The Power of CSS Pseudo Elements
geoffreycrofte
47
3.9k
The Language of Interfaces
destraynor
148
20k
I Don’t Have Time: Getting Over the Fear to Launch Your Podcast
jcasabona
12
930
Principles of Awesome APIs and How to Build Them.
keavy
113
15k
Why Our Code Smells
bkeepers
PRO
324
55k
Let's Do A Bunch of Simple Stuff to Make Websites Faster
chriscoyier
498
130k
JazzCon 2018 Closing Keynote - Leadership for the Reluctant Leader
reverentgeek
172
8.5k
Navigating Team Friction
lara
175
11k
A designer walks into a library…
pauljervisheath
196
16k
How to name files
jennybc
40
61k
Rebuilding a faster, lazier Slack
samanthasiow
62
7.2k
What the flash - Photography Introduction
edds
62
10k
Transcript
KeycloakでSSOに入門する OSSセキュリティ技術の会 第10回勉強会 我が…Keycloakの世界に…入門してくるとは!の巻 Hiroyuki Wada / @wadahiro Wataru Okuura
自己紹介 奥浦担当 和田担当 和田担当
今日話すこと 入門編のこのあたりを中 心に解説 書籍のサンプルアプリ ケーションを使い実際に SSOの動作デモ
SSOとは 一度のログインで複数のアプリケーションやサービスに対してアクセス可能になる 特性や機能のこと
SSOのメリット • 利用者側 ◦ 1つのユーザIDとパスワードの組を覚えるだけで済む ◦ 一度ログインするだけで複数のアプリケーションを利用可能になり、 アプリケーションごとにログインする手間がなくなる
SSOのメリット • 管理者側 ◦ パスワードの管理箇所、認証箇所を1箇所に集約でき、アタックサー フェス(攻撃対象領域)を少なくできる ◦ 認証強度を上げる場合は、1箇所の認証強度を上げるだけで済む ◦ アプリごとにパスワード忘れ対応といったヘルプデスク運用の負荷軽
減
SSOは新しいものではない • Active Directoryドメイン内の認証などで使われるKerberosはかなり昔 からある • KeycloakではWebに特化したSSOを実現
(Web) SSOの実現方法 シンプルなCookieベースのやり方/オレオレSSO(2000年代)
異なるドメイン間でのSSO 認証連携の標準プロトコル(SAML/OIDC)を活用したSSO
SSOの仕組み
何らかの方法で 認証結果をアプリケー ションに連携することで SSOを実現 安全な方法で認証結果をアプ リケーションに渡す標準的なや り方を定めたもの ⇓ 認証連携プロトコル (SAML/OIDC)
認証完了 認証結果 を連携 認証結果 を連携
SAMLの代表的なフロー(HTTP POST Binding) • アプリケーション(SP:Service Provider) と認証サーバー(IdP:Idenitity Provider) 間は直接通信しない •
ブラウザー経由で認証結果を直接連携する • 認証結果として「SAMLアサーション」をIdPから SPに渡す • SPではSAMLアサーションを検証しつつ、含まれて いるユーザ識別子を利用してユーザを特定して SSOを行う
OIDCの代表的なフロー(認可コードフロー) • アプリケーション(RP:Relying Party)と認証サーバー(OP:OpenID Provider)間は直接通信あり • ブラウザーを経由せず、サーバー間通 信で認証結果を受け取る(引き換えの ための認可コードをブラウザー経由で 渡す)
• 認証結果として「IDトークン」をOPか らRPに渡す • RPではIDトークンを検証しつつ、含ま れているユーザ識別子を利用してユー ザを特定してSSOを行う
SAMLとOIDC • 認証リクエスト:SAMLリクエスト / OIDC認証リクエスト • 認証結果:SAMLアサーション / IDトークン •
アプリケーション-認証サーバー間の直接通信あり・なしは、実は SAML・OIDCの双方で方式が用意されている • ただし、紹介した代表的なフローがよく使われる (OIDCだと、アクセストークンを使ったAPI認可も同時に行いたいとなる と、認可コードフローがセキュリティ上望ましい)
Keycloak • SAML/OIDCの両方に対応した認証サーバー (代表的ではないフローにも対応) • Keycloak - アプリケーション間のSSOだけでなく、外部の認証サーバー とのSSO※についてもSAML/OIDCの両方に対応 ※Keycloakでは「アイデンティティーブローカリング」という機能
アプリケーションの SSO対応
アプリケーション側はどうする? • 認証サーバー側:Keycloakにおまかせ! • アプリケーション側:???
Keycloak入門本での解説 • 代表的なアプリケーション側のSSOの実現方式につ いて解説 • アプリケーションのタイプ別に、どの方式で実現 することができるか解説
ライブラリーを利用 • アプリケーション内でOIDC/SAML対応のラ イブラリーを利用して実現する • ライブラリーがOIDC/SAMLで必要なメッ セージの組み立て、アサーションの検証など を実施 • ライブラリーを組み込み可能なアプリケー
ションタイプの場合に利用可能なパターン
リバースプロキシーを利用 • リバースプロキシーサーバーにて OIDC/SAMLによるSSOを実装 • 後段のアプリケーションには、連携された 認証結果からユーザー識別子などをHTTP ヘッダーで連携する • アプリケーションはHTTPヘッダーを参照し
て認証するだけでよい • AWS Application Load Balancerや Identity-Aware Proxy(IAP)のOIDC 機能もこのパターンとなる
まとめ • SSOは認証結果を連携することで実現する • 認証結果を連携するための標準プロトコルとして、SAML/OIDCがある • KeycloakはSAML/OIDCを実装しており、認証サーバー側の機能を主に 提供(アプリケーション向けのライブラリも一部提供) • SSOを行うアプリケーション側もSAML/OIDCに対応する必要があるが、
様々な方式があり、アプリケーションタイプに応じて考える必要がある