サーバー管理ガイド

手順

1. メニューで Realm Settings をクリックします。

2. Login タブをクリックします。

   ログインタブ

   

3. Forgot password を ON に切り替えます。

   Forgot Password? リンクがログインページに表示されます。

   forgot password リンク

   

4. Keycloak がリセット電子メールを送信できるようにするには、Email タブで Host と From を指定します。

5. このリンクをクリックして、ユーザー名またはメールアドレスを入力し、リンクのある電子メールを受信して認証情報をリセットできるユーザーを追加します。

   Forgot password ページ

   

手順

1. メニューで Authentication をクリックします。
2. Flows タブをクリックします。

3. Reset Credentials フローを選択します。

   認証情報フローをリセット

   

   OTP をリセットしない場合は、Reset OTP の要件を Disabled に設定します。

4. メニューで Authentication をクリックします。
5. Required Actions タブをクリックします。

6. Update Password が有効になっていることを確認します。

   必要なアクション

   

手順

1. メニューで Realm Settings をクリックします。
2. Login タブをクリックします。

3. Remember Me を On に切り替えます。

   ログインタブ

   

   この設定を保存すると、レルムのログインページに remember me チェックボックスが表示されます。

   Remember Me

   

手順

1. 管理コンソールでレルムを選択します。
2. メニューで Realm Settings をクリックします。
3. Keys タブをクリックします。
4. Providers タブをクリックします。
5. Add provider をクリックし、rsa-generated を選択します。
6. Priority フィールドに番号を入力します。この数字は、新しいキーペアがアクティブなキーペアになるかどうかを決定します。最も大きい番号のキーペアがアクティブになります。
7. AES Key size の値を選択します。
8. Save をクリックします。

手順

1. 管理コンソールでレルムを選択します。
2. Realm Settings をクリックします。

3. Keys タブをクリックします。

   Active キーのリストが表示されます。

4. RSA キーのある行で、Public Keys の下の Certificate をクリックします。

   証明書はテキスト形式で表示されます。

5. 証明書をファイルに保存し、これらの行で囲みます。

   ----Begin Certificate----
   <Output>
   ----End Certificate----

   Copy to Clipboard
6. keytool コマンドを使用して、キーファイルを PEM 形式に変換します。

7. キーストアから現在の RSA 公開鍵証明書を削除します。

   keytool -delete -keystore <keystore>.jks -storepass <password> -alias <key>

   Copy to Clipboard

8. 新しい証明書をキーストアにインポートします。

   keytool -importcert -file domain.crt -keystore <keystore>.jks -storepass <password>  -alias <key>

   Copy to Clipboard

9. アプリケーションをリビルドします。

   mvn clean install wildfly:deploy

   Copy to Clipboard

手順

1. 管理コンソールでレルムを選択します。
2. Realm settings をクリックします。
3. Keys タブをクリックします。
4. Providers タブをクリックします。
5. Add provider をクリックし、rsa を選択します。
6. Priority フィールドに番号を入力します。この数字は、新しいキーペアがアクティブなキーペアになるかどうかを決定します。
7. Private RSA Key の横にある Browse... をクリックして、秘密キーファイルをアップロードします。
8. 秘密キーの署名付き証明書がある場合は、X509 Certificate の横にある Browse... をクリックして証明書ファイルをアップロードします。証明書をアップロードしない場合、Red Hat build of Keycloak は自己署名付き証明書を自動的に生成します。
9. Save をクリックします。

手順

1. 管理コンソールでレルムを選択します。
2. メニューで Realm Settings をクリックします。
3. Keys タブをクリックします。
4. Providers タブをクリックします。
5. Add provider をクリックし、java-keystore を選択します。
6. Priority フィールドに番号を入力します。この数字は、新しいキーペアがアクティブなキーペアになるかどうかを決定します。
7. キーストア の値を入力します。
8. キーストアパスワード の値を入力します。
9. Key Alias の値を入力します。
10. Key Password の値を入力します。
11. Save をクリックします。

手順

1. 管理コンソールでレルムを選択します。
2. メニューで Realm Settings をクリックします。
3. Keys タブをクリックします。
4. Providers タブをクリックします。
5. パッシブに設定するキーのプロバイダーをクリックします。
6. Active を Off に切り替えます。
7. Save をクリックします。

手順

1. 管理コンソールでレルムを選択します。
2. メニューで Realm Settings をクリックします。
3. Keys タブをクリックします。
4. Providers タブをクリックします。
5. パッシブに設定するキーのプロバイダーをクリックします。
6. Enabled を Off に切り替えます。
7. Save をクリックします。

手順

1. メニューで Clients をクリックします。
2. security-admin-console をクリックします。
3. Access settings セクションまで下にスクロールします。
4. Admin URL フィールドに入力します。
5. Advanced タブをクリックします。
6. Revocation セクションで Set to now をクリックします。
7. Push をクリックします。

手順

1. メニューの User Federation をクリックします。

   ユーザーフェデレーション

   

2. Add LDAP providers をクリックします。

   Red Hat build of Keycloak により、LDAP 設定ページが表示されます。

手順

1. 以下のコマンドを使用して FreeIPA サーバーを実行します。

    docker run --name freeipa-server-container -it \
    -h server.freeipa.local -e PASSWORD=YOUR_PASSWORD \
    -v /sys/fs/cgroup:/sys/fs/cgroup:ro \
    -v /var/lib/ipa-data:/data:Z freeipa/freeipa-server

   Copy to Clipboard

   server.freeipa.local のパラメーター -h は FreeIPA/IdM サーバーのホスト名を表します。YOUR_PASSWORD を独自のパスワードに変更します。

2. コンテナーが起動したら、/etc/hosts ファイルを以下のように変更します。

   x.x.x.x     server.freeipa.local

   Copy to Clipboard

   この変更を加えない場合は、DNS サーバーを設定する必要があります。

3. SSSD フェデレーションプロバイダーが Red Hat build of Keycloak で開始および実行されるように、以下のコマンドを使用して IPA ドメインに Linux サーバーを登録します。

    ipa-client-install --mkhomedir -p admin -w password

   Copy to Clipboard

4. クライアントで以下のコマンドを実行して、インストールが機能していることを確認します。

    kinit admin

   Copy to Clipboard
5. パスワードを入力します。

6. 以下のコマンドを使用して IPA サーバーにユーザーを追加します。

   $ ipa user-add <username> --first=<first name> --last=<surname> --email=<email address> --phone=<telephoneNumber> --street=<street> --city=<city> --state=<state> --postalcode=<postal code> --password

   Copy to Clipboard

7. kinit を使用してユーザーのパスワードを強制的に設定します。

    kinit <username>

   Copy to Clipboard

8. 以下のコマンドを入力して通常の IPA 操作を復元します。

   kdestroy -A
   kinit admin

   Copy to Clipboard

手順

1. sssd-dbus RPM をインストールします。

   $ sudo yum install sssd-dbus

   Copy to Clipboard

2. 以下のプロビジョニングスクリプトを実行します。

   $ bin/federation-sssd-setup.sh

   Copy to Clipboard

   このスクリプトは、Red Hat build of Keycloak 用に SSSD と PAM を設定するためのガイドとしても使用できます。これを実行すると、/etc/sssd/sssd.conf に次の変更が加えられます。

     [domain/your-hostname.local]
     ...
     ldap_user_extra_attrs = mail:mail, sn:sn, givenname:givenname, telephoneNumber:telephoneNumber
     ...
     [sssd]
     services = nss, sudo, pam, ssh, ifp
     ...
     [ifp]
     allowed_uids = root, yourOSUsername
     user_attributes = +mail, +telephoneNumber, +givenname, +sn

   Copy to Clipboard

   OS ユーザーがこのインターフェイスを介して IPA サーバーに問い合わせできるように、ifp サービスが SSSD に追加され、設定されます。

   このスクリプトは、SSSD 経由でユーザーを認証するための新しい PAM サービス (/etc/pam.d/keycloak) も作成します。

   auth    required   pam_sss.so
   account required   pam_sss.so

   Copy to Clipboard

3. dbus-send を実行して、設定が正常に行われていることを確認します。

   dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserAttr string:<username> array:string:mail,givenname,sn,telephoneNumber
   
   dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserGroups string:<username>

   Copy to Clipboard

   セットアップが成功すると、各コマンドでユーザーの属性とグループがそれぞれ表示されます。タイムアウトまたはエラーが発生した場合、Red Hat build of Keycloak で実行されているフェデレーションプロバイダーはデータを取得できません。このエラーは、通常、サーバーが FreeIPA IdM サーバーに登録されていないか、SSSD サービスにアクセスするパーミッションがないために発生します。

   SSSD サービスにアクセスする権限がない場合は、Red Hat build of Keycloak サーバーを実行しているユーザーが次のセクションの /etc/sssd/sssd.conf ファイルに存在することを確認してください。

   [ifp]
   allowed_uids = root, yourOSUsername

   Copy to Clipboard

   ホスト内に ipaapi システムユーザーが作成されます。このユーザーは、ifp サービスに必要です。システムにユーザーが作成されたことを確認します。

   grep ipaapi /etc/passwd
   ipaapi:x:992:988:IPA Framework User:/:/sbin/nologin

   Copy to Clipboard

手順

1. メニューの User Federation をクリックします。
2. すべてが正常にセットアップされると、Add Sssd providers ボタンがページに表示されます。そのボタンをクリックします。
3. 新しいプロバイダーに名前を割り当てます。
4. Save をクリックします。

手順

1. メニューの Users をクリックします。Users ページが表示されます。
2. ユーザーを選択します。
3. Credentials タブをクリックします。
4. パスワードの設定 セクションに新しいパスワードを入力します。

5. パスワードの設定 をクリックします。

   注記

   Temporary が ON の場合は、初回ログイン時にパスワードを変更する必要があります。ユーザーが指定したパスワードを維持できるようにするには、Temporary を OFF に設定します。ユーザーは、Set Password をクリックしてパスワードを変更する必要があります。

手順

1. メニューの Users をクリックします。Users ページが表示されます。
2. ユーザーを選択します。
3. Credentials タブをクリックします。
4. 認証情報のリセット をクリックします。
5. リストから パスワードの更新 を選択します。
6. Send Email をクリックします。送信されたメールには、ユーザーを Update Password ウィンドウに転送するリンクが含まれます。
7. オプションで、メールリンクの有効性を設定できます。これは、Realm Settings の Tokens タブでデフォルトの事前設定に設定されます。

手順

1. メインメニューで Users をクリックします。Users ページが表示されます。
2. ユーザーを選択します。
3. Credentials タブをクリックします。
4. 認証情報のリセット をクリックします。
5. Reset Actions を Configure OTP に設定します。
6. Send Email をクリックします。送信されたメールには、OTP 設定ページに転送するリンクが含まれます。

手順

1. メインメニューで Realm Settings をクリックします。
2. Login タブをクリックします。
3. ユーザー登録を ON に切り替えます。

手順

1. ログインページの 登録 リンクをクリックします。登録ページが表示されます。
2. ユーザープロファイル情報を入力します。
3. 新しいパスワードを入力します。
4. Register をクリックします。

手順

1. メニューで Authentication をクリックします。Flows タブをクリックします。
2. registration フローをクリックします。

3. Terms and Conditions の行で Required を選択します。

   登録時に利用規約への同意を必須にする

   

手順

1. メニューの Users をクリックします。
2. リストからユーザーを選択します。

3. Required User Actions リストに移動します。

   

4. アカウントに追加するすべてのアクションを選択します。
5. アクション名の横にある X をクリックして削除します。
6. 追加するアクションを選択したら、Save をクリックします。

手順

1. メニューで Authentication をクリックします。
2. Required Actions タブをクリックします。
3. 1 つ以上の必要なアクションの デフォルトのアクションとして設定 列のチェックボックスをクリックします。新規ユーザーが初めてログインしたら、選択したアクションを実行する必要があります。

手順

1. メニューで Authentication をクリックします。
2. Required Actions タブをクリックします。
3. 利用規約 のアクションを有効にします。
4. ベースログインテーマの terms.ftl ファイルを編集します。

手順

1. メニューで Authentication をクリックします。
2. Required Actions タブをクリックします。

3. Delete Account 行で Enabled を選択します。

   Required Actions タブでアカウントを削除します。

   

手順

1. メニューの Users をクリックします。
2. ユーザーを選択します。
3. Role Mappings タブをクリックします。
4. Assign role ボタンをクリックします。
5. account delete-account をクリックします。

6. Assign をクリックします。

   delete-account ロール

   

1. アカウントコンソールにログインします。

2. Personal Info ページの下部に、Delete Account をクリックします。

   アカウントページの削除

   

3. 認証情報を入力し、削除を確定します。

   確認削除

   

   注記

   このアクションは元に戻せません。Red Hat build of Keycloak 内のすべてのデータが削除されます。

手順

1. メニューで Clients をクリックします。
2. セッション タブをクリックします。

3. クライアントをクリックすると、そのクライアントのセッションが表示されます。

   クライアントセッション

   

手順

1. メニューの Users をクリックします。
2. セッション タブをクリックします。

3. ユーザーをクリックすると、そのユーザーのセッションが表示されます。

   ユーザーセッション

   

1. メニューで Realm Settings をクリックします。
2. User registration タブをクリックします。

3. Default Groups タブをクリックします。

   デフォルトグループ

   

手順

1. メニューで Authentication をクリックします。
2. リスト内の Browser 項目をクリックして詳細を表示します。

手順

1. メニューで Authentication をクリックします。
2. Create flow をクリックします。

手順

1. メニューで Authentication をクリックします。
2. Flows タブをクリックします。
3. Create flow をクリックします。
4. 名前として Browser Password-less を入力します。
5. Create をクリックします。
6. Add execution をクリックします。
7. リストから Cookie を選択します。
8. Add をクリックします。
9. Cookie 認証タイプの Alternative を選択して、その要件を代替に設定します。
10. Add step をクリックします。
11. リストから Kerberos を選択します。
12. Add をクリックします。
13. Add step をクリックします。
14. リストから Identity Provider Redirector を選択します。
15. Add をクリックします。
16. Identity Provider Redirector 認証タイプの Alternative を選択して、その要件を代替に設定します。
17. Add sub-flow をクリックします。
18. 名前として Forms と入力します。
19. Add をクリックします。

20. Forms 認証タイプの Alternative を選択して、その要件を代替に設定します。

    ブラウザーフローの共通部分

    

21. Forms 実行の + メニューをクリックします。
22. Add step を選択します。
23. リストから Username Form を選択します。
24. Add をクリックします。

1. Forms サブフローの + メニューをクリックします。
2. Add sub-flow をクリックします。
3. 名前として Authentication を入力します。
4. Add をクリックします。
5. Authentication 認証タイプで Required を選択し、その要件を必須に設定します。
6. Authentication サブフローの + メニューをクリックします。
7. Add step をクリックします。
8. リストから WebAuthn Passwordless Authenticator を選択します。
9. Add をクリックします。
10. Webauthn Passwordless Authenticator 認証タイプの Alternative を選択して、その要件を代替に設定します。
11. Authentication サブフローの + メニューをクリックします。
12. Add sub-flow をクリックします。
13. 名前として Password with OTP を入力します。
14. Add をクリックします。
15. Password with OTP で Alternative を選択し、その要件を代替に設定します。
16. Password with OTP サブフローの + メニューをクリックします。
17. Add step をクリックします。
18. リストから Password Form を選択します。
19. Add をクリックします。
20. Password Form 認証タイプで Required を選択し、その要件を必須に設定します。
21. Password with OTP サブフローの + メニューをクリックします。
22. Add step をクリックします。
23. リストから OTP Form を選択します。
24. Add をクリックします。
25. OTP Form 認証タイプの Required をクリックして、その要件を必須に設定します。

1. 画面上部の Action メニューをクリックします。
2. メニューから Bind flow を選択します。
3. Browser Flow ドロップダウンリストをクリックします。
4. Save をクリックします。

手順

1. メニューで Authentication をクリックします。
2. Flows タブをクリックします。
3. Create flow をクリックします。
4. Browser Incl Step up Mechanism を名前として入力します。
5. Save をクリックします。
6. Add execution をクリックします。
7. リストから Cookie を選択します。
8. Add をクリックします。
9. Cookie 認証タイプの Alternative を選択して、その要件を代替に設定します。
10. Add sub-flow をクリックします。
11. Auth Flow を名前として入力します。
12. Add をクリックします。
13. Auth Flow 認証タイプの Alternative をクリックして、その要件を代替に設定します。

1. Auth Flow の + メニューをクリックします。
2. Add sub-flow をクリックします。
3. 1st Condition Flow を名前として入力します。
4. Add をクリックします。
5. 1st Condition Flow 認証タイプの Conditional をクリックし、その要件を条件に設定します。
6. 1st Condition Flow の + メニューをクリックします。
7. Add condition をクリックします。
8. リストから Conditional - Level Of Authentication を選択します。
9. Add をクリックします。
10. Conditional - Level Of Authentication 認証タイプの Required をクリックして、その要件を必須に設定します。
11. ⚙️ (歯車アイコン) をクリックします。
12. Level 1 をエイリアスとして入力します。
13. レベル認証 (LoA) に 1 と入力します。
14. Max Age を 36000 に設定します。この値は秒単位であり、10 時間に相当します。これは、レルムで設定されているデフォルトの SSO Session Max タイムアウトです。その結果、ユーザーがこのレベルで認証される場合、後続の SSO ログインはこのレベルを再利用でき、ユーザーセッションが終了するまでユーザーはこのレベルで認証する必要はありません (デフォルトでは 10 時間)。

15. Save をクリックします。

    最初の認証レベルの条件を設定します。

    

16. 1st Condition Flow の + メニューをクリックします。
17. Add step をクリックします。
18. リストから Usernmae Password Form を選択します。
19. Add をクリックします。

1. Auth Flow の + メニューをクリックします。
2. Add sub-flow をクリックします。
3. 2nd Condition Flow をエイリアスとして入力します。
4. Add をクリックします。
5. 2st Condition Flow 認証タイプの Conditional をクリックし、その要件を条件に設定します。
6. 2nd Condition Flow の + メニューをクリックします。
7. Add condition をクリックします。
8. 項目 リストから Conditional - Level Of Authentication を選択します。
9. Add をクリックします。
10. Conditional - Level Of Authentication 認証タイプの Required をクリックして、その要件を必須に設定します。
11. ⚙️ (歯車アイコン) をクリックします。
12. Level 2 をエイリアスとして入力します。
13. 認証レベル (LoA) に 2 と入力します。
14. Max Age を 0 に設定します。その結果、ユーザーが認証する場合、このレベルは現在の認証に対してのみ有効ですが、後続の SSO 認証に対しては有効ではありません。したがって、このレベルが要求された場合、ユーザーは常にこのレベルで再度認証する必要があります。

15. Save をクリックします。

    2 つ目の認証レベルの条件を設定する

    

16. 2nd Condition Flow の + メニューをクリックします。
17. Add step をクリックします。
18. リストから OTP Form を選択します。
19. Add をクリックします。
20. OTP Form 認証タイプの Required をクリックして、その要件を必須に設定します。

1. 画面上部の Action メニューをクリックします。
2. リストから Bind flow を選択します。
3. ドロップダウンから Browser Flow を選択します。
4. Save をクリックします。

1. Max Age は、レベル 1 の状態で 300 秒として設定されています。
2. ログイン要求は、acr を要求せずに送信されます。レベル 1 が使用され、ユーザーはユーザー名とパスワードで認証する必要があります。トークンには acr=1 があります。
3. 別のログイン要求は 100 秒後に送信されます。SSO によりユーザーが自動的に認証され、トークンは acr=1 を返します。
4. さらに 201 秒 (ポイント 2 での認証から 301 秒) 後に別のログイン要求が送信されます。ユーザーは SSO により自動的に認証されますが、レベル 1 が期限切れと見なされるため、トークンは acr=0 を返します。
5. 別のログイン要求が送信されますが、これで、claims パラメーターでレベル 1 の ACR が明示的に要求されます。ユーザーはユーザー名/パスワードで再認証するように求められ、その後 acr=1 がトークンで返されます。

1. Kerberos データベースにユーザープリンシパルを追加します。Kerberos と LDAP を統合することも可能です。つまり、ユーザーアカウントが LDAP サーバーからプロビジョニングされます。

2. HTTP サービスのサービスプリンシパルを追加します。たとえば、Red Hat build of Keycloak サーバーが www.mydomain.org で実行されている場合は、サービスプリンシパル HTTP/www.mydomain.org@<kerberos realm> を追加します。

   MIT Kerberos では、kadmin セッションを実行します。MIT Kerberos を使用するマシンで、以下のコマンドを使用できます。

手順

1. Kerberos クライアントをインストールします。マシンが Fedora、Ubuntu、または RHEL を実行している場合は、Kerberos クライアントおよびその他のユーティリティーが含まれる freeipa-client パッケージをインストールします。

2. Kerberos クライアントを設定します (Linux では、設定は /etc/krb5.conf ファイルにあります)。

   Kerberos レルムを設定に追加し、サーバー稼働している HTTP ドメインを設定します。

   たとえば、MYDOMAIN.ORG レルムの場合は、以下のように domain_realm セクションを設定できます。

   [domain_realm]
     .mydomain.org = MYDOMAIN.ORG
     mydomain.org = MYDOMAIN.ORG

   Copy to Clipboard

3. HTTP プリンシパルを含む keytab ファイルをエクスポートし、そのファイルに Red Hat build of Keycloak サーバーを実行しているプロセスからアクセスできることを確認します。本番環境では、このプロセスだけがこのファイルを読み取れるようにします。

   上記の MIT Kerberos の例では、キータブを /tmp/http.keytab ファイルにエクスポートしました。Key Distribution Center (KDC) と Red Hat build of Keycloak が同じホスト上で実行されている場合、ファイルはすでに使用可能です。

1. メニューで Authentication をクリックします。
2. Browser フローをクリックします。
3. Action リストから Duplicate を選択します。
4. コピーの名前を入力します。
5. 複製 をクリックします。
6. Add step をクリックします。
7. X509/Validate Username Form をクリックします。

8. Add をクリックします。

   X509 実行

   

9. X509/Validate Username Form をクリックし、Browser Forms 実行の上にドラッグします。

10. 要件を ALTERNATIVE に設定します。

    X509 ブラウザーフロー

    

11. Action メニューをクリックします。
12. Bind flow をクリックします。
13. ドロップダウンリストから Browser flow をクリックします。

14. Save をクリックします。

    X509 ブラウザーフローバインディング

    

1. メニューで Authentication をクリックします。
2. アクションリストから Duplicate を選択して、組み込みの直接付与フローのコピーを作成します。
3. コピーの名前を入力します。
4. 複製 をクリックします。
5. 作成したフローをクリックします。
6. ユーザー名の検証のゴミ箱アイコン 🗑️ をクリックし、Delete をクリックします。
7. パスワードのゴミ箱アイコン🗑️をクリックし、Delete をクリックします。
8. Add step をクリックします。
9. X509/Validate Username をクリックします。

10. Add をクリックします。

    X509 直接付与実行

    

11. x509 ブラウザーフロー セクションで説明されている手順に従って、x509 認証設定をセットアップします。
12. Bindings タブをクリックします。
13. Direct Grant Flow ドロップダウンリストをクリックします。
14. 新規作成された x509 Direct Grant フローをクリックします。

15. Save をクリックします。

    X509 直接付与フローバインディング

    

1. メニューで Authentication をクリックします。
2. Browser フローをクリックします。
3. アクションリストから Duplicate を選択して、組み込みの Browser フローのコピーを作成します。
4. コピーの名前として WebAuthn Browser と入力します。
5. 複製 をクリックします。
6. 名前をクリックすると詳細へ移動します
7. WebAuthn Browser - Conditional OTP のゴミ箱アイコン 🗑️ をクリックし、Delete をクリックします。

1. WebAuthn ブラウザーフォーム の + メニューをクリックします。
2. Add step をクリックします。
3. WebAuthn Authenticator をクリックします。
4. Add をクリックします。

5. WebAuthn Authenticator 認証タイプで Required を選択し、その要件を必須に設定します。

   

6. 画面上部の Action メニューをクリックします。
7. ドロップダウンリストから Bind flow を選択します。
8. ドロップダウンリストから Browser を選択します。
9. Save をクリックします。

手順

1. WebAuthn Browser Forms 行の + メニューをクリックします。
2. Add sub-flow をクリックします。
3. name フィールドに Conditional 2FA を入力します。
4. Conditional 2FA の Conditional を選択して、その要件を条件付きに設定します。
5. Conditional 2FA 行で、プラス記号 + をクリックし、Add condition を選択します。
6. Add condition をクリックします。
7. Condition - User Configured をクリックします。
8. Add をクリックします。
9. Condition - User Configured で Required を選択し、その要件を必須に設定します。
10. WebAuthn Authenticator をConditional 2FA フローにドラッグアンドドロップします。

11. WebAuthn Authenticator の Alternative を選択して、その要件を代替に設定します。

    

手順

1. Conditional 2FA 行でプラス記号 + をクリックし、Add step を選択します。
2. リストから OTP Form を選択します。
3. Add をクリックします。

4. OTP Form の Alternative を選択して、その要件を代替に設定します。

   

手順

1. メニューで Identity Providers をクリックします。

2. Add provider リストから Bitbucket を選択します。

   アイデンティティープロバイダーの追加

   

3. Redirect URI の値をクリップボードにコピーします。

4. 別のブラウザータブで、Bitbucket Cloud での OAuth のプロセスを実行します。Add Consumer をクリックする際に、

   1. Redirect URI の値を Callback URL フィールドに貼り付けます。
   2. Account セクションで Email および Read を選択し、アプリケーションが電子メールを読み取れるようにします。
5. コンシューマーの作成時に Bitbucket が表示する Key および Secret の値を書き留めておきます。
6. Red Hat build of Keycloak で、Key の値を Client ID フィールドにペーストします。
7. Red Hat build of Keycloak で、Client Secret の値を Client Secret フィールドにペーストします。
8. Add をクリックします。

手順

1. メニューで Identity Providers をクリックします。

2. Add provider リストから Facebook を選択します。

   アイデンティティープロバイダーの追加

   

3. Redirect URI の値をクリップボードにコピーします。

4. 別のブラウザータブで、Meta for Developers を開きます。

   1. My Apps をクリックします。

   2. Create App を選択します。

      ユースケースの追加

      

   3. Other を選択します。

      アプリケーションタイプを選択します。

      

   4. Consumer を選択します。

      アプリケーションの作成

      

   5. すべての必須フィールドに入力します。

   6. Create App をクリックします。次に、ダッシュボードに移動します。

      製品の追加

      

   7. Facebook Login ボックスで Set Up をクリックします。
   8. Web を選択します。
   9. Redirect URI の値を Site URL フィールドに入力し、Save をクリックします。
   10. ナビゲーションパネルで App settings - Basic を選択します。
   11. App Secret フィールドで Show をクリックします。
   12. App ID と App Secret をメモします。
5. Facebook アプリケーションの App ID および App Secret の値を、Red Hat build of Keycloak の Client ID フィールドおよび Client Secret フィールドに入力します。
6. Add をクリックします。
7. 必要なスコープを Default Scopes フィールドに入力します。デフォルトでは、Red Hat build of Keycloak は email スコープを使用します。Facebook スコープの詳細については、グラフ API を参照してください。

手順

1. メニューで Identity Providers をクリックします。

2. Add provider リストから Github を選択します。

   アイデンティティープロバイダーの追加

   

3. Redirect URI の値をクリップボードにコピーします。

4. 別のブラウザータブで OAUTH アプリケーションを作成します。

   1. アプリケーションの作成時に、Redirect URI の値を Authorization callback URL フィールドに入力します。
   2. OAUTH アプリケーションの管理ページの Client ID と Client シークレット をメモします。
5. Red Hat build of Keycloak で、Client ID の値を Client ID フィールドにペーストします。
6. Red Hat build of Keycloak で、Client Secret の値を Client Secret フィールドにペーストします。
7. Add をクリックします。

手順

1. メニューで Identity Providers をクリックします。

2. Add provider リストから GitLab を選択します。

   アイデンティティープロバイダーの追加

   

3. Redirect URI の値をクリップボードにコピーします。

4. 別のブラウザータブで、新しい GitLab アプリケーションを追加します。

   1. クリップボードの Redirect URI を Redirect URI として使用します。
   2. アプリケーションを保存するときに、Application ID と Secret をメモします。
5. Red Hat build of Keycloak で、Application ID の値を Client ID フィールドにペーストします。
6. Red Hat build of Keycloak で、Client Secret の値を Client Secret フィールドにペーストします。
7. Add をクリックします。

手順

1. メニューで Identity Providers をクリックします。

2. Add provider リストから Google を選択します。

   アイデンティティープロバイダーの追加

   

3. Redirect URI の値をクリップボードにコピーします。
4. 別のブラウザータブで、GoogleCloudPlatform コンソール 開きます。
5. Google アプリの Google ダッシュボードの左側にあるナビゲーションメニューで、APIs & Services の上にマウスを置き、OAuth consent screen オプションをクリックします。同意画面を作成し、合意画面のユーザータイプが External であることを確認します。

6. Google ダッシュボードで以下を行います。

   1. Credentials メニューをクリックします。
   2. CREATE CREDENTIALS - OAuth Client ID をクリックします。
   3. Application type リストから Web application を選択します。
   4. クリップボード内のRedirect URI を Authorized redirect URIs として使用します。
   5. Create をクリックします。
   6. Your Client ID とクライアント Your Client Secret を書き留めます。
7. Red Hat build of Keycloak で、Your Client ID の値を Client ID フィールドにペーストします。
8. Red Hat build of Keycloak で、Your Client Secret の値を Client Secret フィールドにペーストします。
9. Add をクリックします。
10. 必要なスコープを Default Scopes フィールドに入力します。Red Hat build of Keycloak は、デフォルトで scopes: openid profile email のスコープを使用します。Google スコープのリストについては、OAuth Playground を参照してください。
11. アクセスを GSuite 組織のメンバーのみに制限するには、Hosted Domain フィールドに G Suite ドメインを入力します。
12. Save をクリックします。

手順

1. メニューで Identity Providers をクリックします。

2. Add provider リストから Instagram を選択します。

   アイデンティティープロバイダーの追加

   

3. Redirect URI の値をクリップボードにコピーします。

4. 別のブラウザータブで、Meta for Developers を開きます。

   1. My Apps をクリックします。

   2. Create App を選択します。

      ユースケースの追加

      

   3. Other を選択します。

      アプリケーションタイプを選択します。

      

   4. Consumer を選択します。

      アプリケーションの作成

      

   5. すべての必須フィールドに入力します。
   6. Create App をクリックします。次に、ダッシュボードに移動します。
   7. ナビゲーションパネルで App settings - Basic を選択します。
   8. ページの下部にある + Add Platform を選択します。
   9. [Website] をクリックします。

   10. サイトの URL を入力します。

       製品の追加

       

   11. メニューから Dashboard を選択します。
   12. Instagram Basic Display ボックスで Set Up をクリックします。

   13. Create New App をクリックします。

       新規 Instagram アプリケーション ID の作成

       

   14. Display name フィールドに値を入力します。

       アプリをセットアップします。

       

   15. Red Hat build of Keycloak の Redirect URL を Valid OAuth Redirect URIs フィールドにペーストします。
   16. Red Hat build of Keycloak の Redirect URL を Valid Deauthorize Callback URL フィールドにペーストします。
   17. Red Hat build of Keycloak の Redirect URL を Valid Data Deletion Request URL フィールドにペーストします。
   18. Instagram App Secret フィールドで Show をクリックします。
   19. Instagram App ID と Instagram App Secret をメモします。
   20. App Review - Requests をクリックします。
   21. 画面の指示に従います。
5. Red Hat build of Keycloak で、Instagram App ID の値を Client ID フィールドにペーストします。
6. Red Hat build of Keycloak で、Instagram App Secret の値を Client Secret フィールドにペーストします。
7. Add をクリックします。