第6章 CodeReady Workspaces のセキュリティー保護

1. OpenID 設定サービスをリクエストします。ここで は、クライアントが、JSON 形式で返される jwks.endpoint、token .endpoint、logout.endpoint 、または client_id などの OpenId プロバイダーの必要な URL およびプロパティーをすべて検索できます。

2. サービス URL は https://codeready-<openshift_deployment_name>.<domain_name>/api/keycloak/settings で、CodeReady Workspaces マルチユーザーモードでのみ利用できます。URL にサービスが存在すると、現在のデプロイメントで認証が有効になっていることを確認します。

   出力例：

   {
       "che.keycloak.token.endpoint": "http://172.19.20.9:5050/auth/realms/che/protocol/openid-connect/token",
       "che.keycloak.profile.endpoint": "http://172.19.20.9:5050/auth/realms/che/account",
       "che.keycloak.client_id": "che-public",
       "che.keycloak.auth_server_url": "http://172.19.20.9:5050/auth",
       "che.keycloak.password.endpoint": "http://172.19.20.9:5050/auth/realms/che/account/password",
       "che.keycloak.logout.endpoint": "http://172.19.20.9:5050/auth/realms/che/protocol/openid-connect/logout",
       "che.keycloak.realm": "che"
   }

   Copy to Clipboard Toggle word wrap

   このサービスは、JavaScript クライアントライブラリーをダウンロードし、https://codeready-<openshift_deployment_name>.<domain_name>/api/keycloak/OIDCKeycloak.js URL を使用してプロバイダーと対話 でき ます。

3. client_id および return redirection パスを含む必要なパラメーターをすべて使用して、ユーザーを適切なプロバイダーのログインページにリダイレクトします。これは、すべてのクライアントライブラリー（JS または Java）で実行できます。
4. ユーザーがプロバイダーにログインすると、クライアント側のサイドコードを取得し、JWT トークンがトークンを検証すると、サブジェクト の作成が開始されます。

1. Authentication: トークンは Authorization ヘッダーまたはトークンクエリーパラメーターから抽出され、プロバイダーから取得さ れ た公開鍵を使用して解析されます。期限切れ、無効なトークン、または不適切な場合、403 エラーがユーザーに送信されます。今後のバージョンでのサポート制限や完全削除により、クエリーパラメーターの最小使用が推奨されます。

   検証に成功すると、トークンの解析形式は環境初期化ステップに渡されます。

2. 環境の初期化 - フィルターは JWT トークンクレームからデータを抽出し、ローカルデータベースにユーザーを作成します（まだ利用できない場合は）、サブジェクト オブジェクトを構築し、これを各リクエストの EnvironmentContext オブジェクトに設定します。この オブジェクト は、どこにでもアクセスできます。

   リクエストが JWT トークンのみを使用して作成された場合、以下の単一の認証フィルターが使用されます。

   org.eclipse.che.multiuser.machine.machine.server.MachineLoginFilter: フィルターは userId トークン が属するユーザーを見つけ、ユーザーインスタンスを取得し、プリンシパルをセッションに設定します。CodeReady Workspaces のサーバー間の要求は、EnvironmentContext オブジェクト から取得した現在のサブジェクトトークンですべてのリクエストに署名する専用のリクエストファクトリーを使用して実行されます。

手順

1. multiuser.properties ファイル（クライアント ID、認証 URL、レルム名など）に保存されている認証設定パラメーターを更新します。
2. 単一フィルターまたはフィルターチェーンを作成してトークンの検証、CodeReady Workspaces ダッシュボードでユーザーの作成、サブジェクト オブジェクトの作成。
3. 新しい承認プロバイダーが OpenID プロトコルをサポートする場合は、特定の実装から切り離されたため、設定エンドポイントで利用可能な OIDC JS クライアントライブラリーを使用します。
4. 選択したプロバイダーがユーザーに関する追加のデータ（最初の名およびジョブタイトル）を保存する場合は、この情報を提供するプロバイダー固有の ProfileDao 実装 を作成することが推奨されます。