14.9. 非 FIPS システム上の Red Hat build of Keycloak FIPS モード

Red Hat build of Keycloak は、FIPS 対応の RHEL 8 システムおよび ubi8 イメージでサポートされ、テストされています。RHEL 9 (および ubi9 イメージ) でもサポートされています。RHEL 非互換プラットフォームまたは FIPS 非対応プラットフォームで実行している場合、FIPS 準拠が厳格に保証されることはなく、正式にサポートされません。

そのようなシステム上で Red Hat build of Keycloak を実行するように制限されている場合は、少なくとも java.security ファイルで設定されているセキュリティープロバイダーを更新できます。この場合の更新は FIPS 準拠を意味するものではありませんが、少なくともセットアップはそれに近づきます。そのためには、前述したように、オーバーライドされたセキュリティープロバイダーのリストのみを含むカスタムセキュリティーファイルを提供します。推奨プロバイダーのリストは、OpenJDK 17 のドキュメント を参照してください。

起動時に Red Hat build of Keycloak サーバーログで、正しいセキュリティープロバイダーが使用されているか確認できます。Keycloak 起動コマンドで説明したように、暗号化関連の Keycloak パッケージに対して TRACE ロギングを有効にする必要があります。