14.9. 非 FIPS システム上の Red Hat build of Keycloak FIPS モード

Red Hat build of Keycloak は、FIPS 対応の RHEL 8 システムおよび ubi8 イメージでサポートされ、テストされています。RHEL 9 (および ubi9 イメージ) でもサポートされています。RHEL 非互換プラットフォームまたは FIPS 非対応プラットフォームで実行している場合、FIPS 準拠が厳格に保証されることはなく、正式にサポートされません。

そのようなシステム上で Red Hat build of Keycloak を実行するように制限されている場合でも、java.security ファイルで設定されているセキュリティープロバイダーを更新することはできます。それを更新しても、FIPS 準拠には至りませんが、少なくともそれに近づきます。そのためには、前述したように、オーバーライドされたセキュリティープロバイダーのリストのみを含むカスタムセキュリティーファイルを提供します。推奨プロバイダーのリストは、OpenJDK 17 のドキュメント を参照してください。

起動時に Red Hat build of Keycloak サーバーログで、正しいセキュリティープロバイダーが使用されているか確認できます。前述の Keycloak 起動コマンドで説明したように、暗号化関連の Red Hat build of Keycloak パッケージに対して TRACE ロギングが有効になっている必要があります。