8.6. X.509 クライアント証明書ユーザー認証

Red Hat build of Keycloak は、正規表現をフィルターとして使用して、サブジェクト DN または発行者 DN から証明書のアイデンティティーを抽出します。たとえば、以下の正規表現は email 属性とマッチします。

emailAddress=(.*?)(?:,|$)

正規表現のフィルターは、Identity Source が、Match SubjectDN using regular expression または Match IssuerDN using regular expression のいずれかに設定されている場合にのみ適用されます。

以下の例は、direct Grant フローを使用してレルム テスト でユーザーのアクセストークンを取得する方法を示しています。この例では、セキュリティー保護する apps セクションおよび機密クライアントの resource-owner で OAuth2 Resource Owner Password Credentials Grant を使用しています。

curl \
  -d "client_id=resource-owner" \
  -d "client_secret=40cc097b-2a57-4c17-b36a-8fdf3fc2d578" \
  -d "grant_type=password" \
  --cacert /tmp/truststore.pem \
  --cert /tmp/keystore.pem:kssecret \
  "https://localhost:8543/realms/test/protocol/openid-connect/token"

ファイル /tmp/truststore.pem は、Red Hat build of Keycloak サーバーの証明書が含まれるトラストストアを指します。/tmp/keystore.pem ファイルには、このリクエストによって正常に認証される Red Hat build of Keycloak ユーザーに対応する秘密鍵と証明書が含まれます。設定 セクションで説明されているように、Red Hat build of Keycloak ユーザーにマッピングされた証明書の内容を正確に確認することは、オーセンティケーターの設定 に依存します。kssecret は、このキーストアファイルのパスワードである可能性があります。

ご使用の環境に応じて、たとえば次のような CURL コマンドにさらにオプションが使用される必要がある場合があります。

詳細は、curl ツールのドキュメントを参照してください。curl 以外のツールを使用している場合は、ツールのドキュメントを参照してください。しかし、セットアップも同様です。機密クライアントを使用している場合は、キーストアとトラストストア、およびクライアント認証情報を含める必要があります。