13.7. クライアントポリシー

条件は、ポリシーが採用されるクライアントと、そのクライアントが採用されるタイミングを決定します。一部の条件は、クライアント要求 (OIDC 認可要求、トークンエンドポイント要求など) で他の条件がクライアント要求時にチェックされる場合に、クライアントの作成/更新時にチェックされます。条件は、指定基準の 1 つが満たされているかどうかを確認します。たとえば、一部の条件では、クライアントのアクセスタイプが機密であるかどうかをチェックします。

この条件は単独で使用できません。後述の ポリシー で使用できます。

他の設定可能なプロバイダーと同じ条件を設定できます。設定可能なものは、各条件の性質によって異なります。

以下の条件が提供されます。

たとえば、クライアントの作成時に、このクライアントが初期アクセストークンのない OIDC 動的クライアント登録 (匿名動的クライアント登録) で作成される場合に、条件が true に評価されるように設定できます。そのため、この条件は、たとえば、OIDC 動的クライアント登録により登録されたすべてのクライアントを FAPI または OAuth 2.1 に準拠させるために使用できます。

エグゼキューターは、ポリシーが採用されるクライアントで実行されるアクションを指定します。エグゼキューターは、1 つまたは複数の指定されたアクションを実行します。たとえば、一部のエクゼキューターは、認可要求のパラメーター redirect_uri の値が Authorization Endpoint の事前登録リダイレクト URI と完全に一致するかどうかを確認し、一致しない場合はこの要求を拒否します。

エクゼキューターは、単独では使用できません。後述の プロファイル で使用できます。

エグゼキューターは、他の設定可能なプロバイダーと同じように設定できます。設定可能なものは、各エグゼキューターの性質によって異なります。

エグゼキューターはさまざまなイベントで機能します。エグゼキューターの実装は、特定の種類のイベントを無視できます (たとえば、OIDC request オブジェクトをチェックするエグゼキューターは、OIDC 認可要求に対してのみ機能します)。イベントは以下のとおりです。

各イベントでは、エグゼキューターは複数のフェーズで機能します。たとえば、クライアントの作成/更新時に、エグゼキューターは特定のクライアント設定を自動設定してクライアント設定を変更できます。その後、エグゼキューターはこの設定を検証フェーズで検証します。

このエグゼキュータの目的の 1 つは、FAPI や OAuth 2.1 などのクライアント準拠プロファイルのセキュリティー要件を実現することです。これを行うには、以下のエクゼキューターが必要です。

別のエグゼキューターとして auth-flow-enforce があります。これは、認証要求中に認証フローを強制する場合に使用できます。たとえば、特定のスコープや ACR 値などの特定の条件に基づいたフローの選択に使用できます。詳細は、関連ドキュメント を参照してください。

プロファイルは複数のエクゼキューターで構成されます。これにより、FAPI や OAuth 2.1 などのセキュリティープロファイルを実現できます。プロファイルは、Admin REST API (Admin Console) によりエグゼキューターとともに設定できます。3 つの グローバルプロファイル が存在します。これらはデフォルトで、FAPI 1 Baseline、FAPI 1 Advanced、FAPI CIBA、FAPI 2、および OAuth 2.1 仕様に準拠した事前設定済みのエグゼキューターを使用して Red Hat build of Keycloak に設定されています。詳細は、アプリケーションのセキュリティー保護 セクションの FAPI および OAuth 2.1 を参照してください。

ポリシーは複数の条件およびプロファイルで構成されます。このポリシーは、対象ポリシーの全条件を満たすクライアントに採用できます。このポリシーは複数のプロファイルを参照し、これらのプロファイルの全エクゼキューターは、このポリシーが採用されるクライアントに対してそのタスクを実行します。