3.9. レルムキーの設定

鍵は定期的にローテーションすることを推奨します。まず、既存のアクティブな鍵よりも優先度の高い新しい鍵を作成してください。代わりに、同じ優先度を持つ新しい鍵を作成し、以前の鍵をパッシブにすることもできます。

新しい鍵が利用可能になり次第、その新しい鍵ですべての新しいトークンと Cookie が署名されます。ユーザーがアプリケーションに対して認証されると、SSO Cookie が新しい署名で更新されます。OpenID Connect トークンが更新されると、新しいトークンが新しい鍵で署名されます。最終的には、すべての Cookie とトークンが新しい鍵を使用するようになり、しばらくすると古い鍵を削除できるようになります。

古い鍵を削除する頻度を決定する際には、セキュリティーと、すべての Cookie とトークンの確実な更新との間で、トレードオフが発生します。3 - 6 カ月ごとに新しい鍵を作成し、新しい鍵を作成してから 1 - 2 カ月後に古い鍵を削除することを検討してください。新しい鍵が追加されてから古い鍵が削除されるまでの期間にユーザーが非アクティブだった場合、そのユーザーは再認証を行う必要があります。

鍵のローテーションは、オフライントークンにも適用されます。トークンを最新の状態にするために、アプリケーションは古い鍵が削除される前にトークンを更新する必要があります。