第8章 認証の設定

パスワードは平文で保存されません。Red Hat build of Keycloak は、保存または検証の前に、標準のハッシュアルゴリズムを使用してパスワードをハッシュ化します。

サポートされているパスワードハッシュアルゴリズムを次の表に示します。

PBKDF2 に比べて CPU 要件が大幅に少なく、それと同時により安全であるため、可能な場合は Argon2 を使用することを強く推奨します。

サーバーのデフォルトのパスワードハッシュアルゴリズムは、--spi-password-hashing-provider-default=<algorithm> で設定できます。

メモリーと CPU の過剰な使用を防ぐため、デフォルトでは、Argon2 によるハッシュの並列計算において、JVM で利用可能なコア数が上限となっています。Argon2 ハッシュプロバイダーを設定するには、プロバイダーオプションを使用します。

独自のハッシュアルゴリズムを追加する方法は、サーバー開発者ガイド を参照してください。

Red Hat build of Keycloak が、保存または検証前にパスワードをハッシュ化する回数を指定します。デフォルト値は -1 で、次の表に示すように、選択したハッシュアルゴリズムのデフォルトのハッシュイテレーションを使用します。

パスワード文字列に必要な数字の数。

パスワード文字列に必要な小文字の数。

パスワード文字列に必要な大文字の数。

パスワード文字列で必要な特殊文字の数。

パスワードはユーザー名と同じにすることはできません。

パスワードは、ユーザーのメールアドレスと同じにすることはできません。

パスワードは、定義された 1 つ以上の Java 正規表現パターンと一致する必要があります。正規表現の構文は、Java 正規表現のドキュメント を参照してください。

パスワードが有効な日数。有効期限が切れた日数が経過したら、パスワードを変更する必要があります。

ユーザーがパスワードを使用できない。Red Hat build of Keycloak は、使用されたパスワードの履歴を保存します。保存される古いパスワードの数は、Red Hat build of Keycloak で設定できます。

設定された期間 (日数) 内はパスワードを再利用できません。この期間内に新しいパスワードが最後に設定された場合、ユーザーは別のパスワードを入力するよう強制されます。

パスワードをブラックリストファイルに含めることはできません。

ユーザーが再認証なしでパスワードを更新できるユーザー認証の最大有効期間を秒単位で指定します。値が 0 の場合、ユーザーはパスワードを更新する前に常に現在のパスワードで再認証する必要があることを示します。このポリシーに関する詳細は、AIA セクション を参照してください。