2.3. OIDC によるアプリケーションの保護

手順

1. Red Hat build of Keycloak 管理コンソールに移動します。

2. クライアントを作成します。

   1. Clients をクリックし、Create client をクリックします。
   2. Client type が OpenID Connect に設定されていることを確認します。
   3. クライアント ID を入力します。たとえば、jbeap-oidc です。
   4. Next をクリックします。
   5. Capability Config タブで、Authentication Flow が Standard flow および Direct access grants に設定されていることを確認します。
   6. Next をクリックします。
   7. Login settings タブで、Valid redirect URIs の値を入力します。認証成功後のページのリダイレクト先 URL を入力します (例: http://localhost:8080/simple-webapp-example/secured/*)。
   8. Save をクリックします。

3. アダプターの設定を表示します。

   1. Action をクリックし、Download adapter config をクリックします。

   2. Keycloak OIDC JSON を Format Option として選択して、接続パラメーターを確認します。

      {
        "realm": "example_realm",
        "auth-server-url": "http://localhost:8180/",
        "ssl-required": "external",
        "resource": "jbeap-oidc",
        "public-client": true,
        "confidential-port": 0
      }

      Red Hat build of Keycloak をアイデンティティプロバイダーとして使用するように JBoss EAP アプリケーションを設定する場合は、パラメーターを次のように使用します。

      "provider-url" : "http://localhost:8180/realms/example_realm",
      "ssl-required": "external",
      "client-id": "jbeap-oidc",
      "public-client": true,
      "confidential-port": 0

手順

1. アプリケーションの web.xml を設定して、アプリケーションリソースを保護します。

   <?xml version="1.0" encoding="UTF-8"?>
   
   <web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
       metadata-complete="false">
   
       <security-constraint>
           <web-resource-collection>
               <web-resource-name>secured</web-resource-name>
               <url-pattern>/secured</url-pattern>
           </web-resource-collection>
   
           <auth-constraint>
               <role-name>Admin</role-name>    1
           </auth-constraint>
       </security-constraint>
   
       <security-role>
           <role-name>*</role-name>
       </security-role>
   </web-app>

   1

   Admin ロールを持つユーザーのみがアプリケーションにアクセスできるようにします。任意のロールを持つユーザーがアプリケーションにアクセスできるようにするには、role-name の値としてワイルドカード ** を使用します。

2. OpenID Connect を使用してアプリケーションを保護するには、デプロイメント設定を更新するか、elytron-oidc-client サブシステムを設定します。

   注記

   デプロイメント設定と elytron-oidc-client サブシステムの両方で OpenID Connect を設定する場合、elytron-oidc-client サブシステムの secure-deployment 属性の設定は、アプリケーションデプロイメント記述子の設定よりも優先されます。

   • デプロイメント設定の更新:

     1. 認証方法として OIDC を指定するログイン設定を、アプリケーションの web.xml に追加します。

        <web-app>
        ...
            <login-config>
                <auth-method>OIDC</auth-method>     1
            </login-config>
        ...
        </web-app>

        1

        OIDC を使用してアプリケーションを保護します。

     2. 次のように、WEB-INF ディレクトリーにファイル oidc.json を作成します。

        {
          "provider-url" : "http://localhost:8180/realms/example_realm",
          "ssl-required": "external",
          "client-id": "jbeap-oidc",
          "public-client": true,
          "confidential-port": 0
        }

   • elytron-oidc-client サブシステムの設定:

     • アプリケーションを保護するには、次の管理 CLI コマンドを使用します。

       /subsystem=elytron-oidc-client/secure-deployment=simple-oidc-example.war/:add(client-id=jbeap-oidc,provider-url=http://localhost:8180/realms/example_realm,public-client=true,ssl-required=external)

3. アプリケーションのルートディレクトリーで、次のコマンドを使用してアプリケーションをコンパイルします。

   $ mvn package

4. アプリケーションをデプロイします。

   $ mvn wildfly:deploy

検証

1. ブラウザーで http://localhost:8080/simple-webapp-example/secured に移動します。

   Red Hat build of Keycloak のログインページにリダイレクトされます。

2. Red Hat build of Keycloak で定義したユーザーの認証情報を使用してログインできます。