第2章 OpenID Connect を使用したアプリケーションとサービスのセキュア化

手順

1. WAR の WEB-INF ディレクトリーに keycloak.json アダプター設定ファイルを作成します。

   この設定ファイルの形式は、Java アダプター設定 セクションで説明されています。

2. web.xml で auth-method を KEYCLOAK に設定します。

3. 標準のサーブレットセキュリティーを使用して URL に role-base 制約を指定します。

   以下に例を示します。

   <web-app xmlns="http://java.sun.com/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
         version="3.0">
   
       <module-name>application</module-name>
   
       <security-constraint>
           <web-resource-collection>
               <web-resource-name>Admins</web-resource-name>
               <url-pattern>/admin/*</url-pattern>
           </web-resource-collection>
           <auth-constraint>
               <role-name>admin</role-name>
           </auth-constraint>
           <user-data-constraint>
               <transport-guarantee>CONFIDENTIAL</transport-guarantee>
           </user-data-constraint>
       </security-constraint>
       <security-constraint>
           <web-resource-collection>
               <web-resource-name>Customers</web-resource-name>
               <url-pattern>/customers/*</url-pattern>
           </web-resource-collection>
           <auth-constraint>
               <role-name>user</role-name>
           </auth-constraint>
           <user-data-constraint>
               <transport-guarantee>CONFIDENTIAL</transport-guarantee>
           </user-data-constraint>
       </security-constraint>
   
       <login-config>
           <auth-method>KEYCLOAK</auth-method>
           <realm-name>this is ignored currently</realm-name>
       </login-config>
   
       <security-role>
           <role-name>admin</role-name>
       </security-role>
       <security-role>
           <role-name>user</role-name>
       </security-role>
   </web-app>

   Copy to Clipboard Toggle word wrap

手順

1. /WEB-INF/web.xml ファイルで、必要を宣言します。

   • <security-constraint> 要素のセキュリティー制約
   • <login-config> 要素のログイン設定

   • <security-role> 要素のセキュリティーロール

     以下に例を示します。

     <?xml version="1.0" encoding="UTF-8"?>
     <web-app xmlns="http://java.sun.com/xml/ns/javaee"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
              version="3.0">
     
         <module-name>customer-portal</module-name>
     
         <welcome-file-list>
             <welcome-file>index.html</welcome-file>
         </welcome-file-list>
     
         <security-constraint>
             <web-resource-collection>
                 <web-resource-name>Customers</web-resource-name>
                 <url-pattern>/customers/*</url-pattern>
             </web-resource-collection>
             <auth-constraint>
                 <role-name>user</role-name>
             </auth-constraint>
         </security-constraint>
     
         <login-config>
             <auth-method>BASIC</auth-method>
             <realm-name>does-not-matter</realm-name>
         </login-config>
     
         <security-role>
             <role-name>admin</role-name>
         </security-role>
         <security-role>
             <role-name>user</role-name>
         </security-role>
     </web-app>

     Copy to Clipboard Toggle word wrap

2. /WEB-INF/jetty-web.xml ファイルにオーセンティケーターのある jetty-web.xml ファイルを追加します。

   以下に例を示します。

   <?xml version="1.0"?>
   <!DOCTYPE Configure PUBLIC "-//Mort Bay Consulting//DTD Configure//EN"
    "http://www.eclipse.org/jetty/configure_9_0.dtd">
   <Configure class="org.eclipse.jetty.webapp.WebAppContext">
       <Get name="securityHandler">
           <Set name="authenticator">
               <New class="org.keycloak.adapters.jetty.KeycloakJettyAuthenticator">
               </New>
           </Set>
       </Get>
   </Configure>

   Copy to Clipboard Toggle word wrap
3. WAR の /WEB-INF/ ディレクトリー内で、新しいファイル keycloak.json を作成します。この設定ファイルの形式は、Java アダプター設定 のセクションで説明されています。外部アダプターの設定 で説明されているように、このファイルを外部から利用できるようにすることもできます。

4. WAR アプリケーションが org.keycloak.adapters.jetty をインポートし、さらに Import-Package ヘッダーで META-INF/MANIFEST.MF ファイルに含まれるパッケージをインポートするようにしてください。プロジェクトに maven-bundle-plugin を使用すると、OSGI ヘッダーがマニフェストに適切に生成されます。パッケージの*解決は、アプリケーションや Blueprint または Spring 記述子で使用されていないため、org.keycloak.adapters.jetty パッケージはインポートしませんが、jetty-web.xml ファイルで使用されます。

   インポートするパッケージのリストは、以下のようになります。

   org.keycloak.adapters.jetty;version="18.0.18.redhat-00001",
   org.keycloak.adapters;version="18.0.18.redhat-00001",
   org.keycloak.constants;version="18.0.18.redhat-00001",
   org.keycloak.util;version="18.0.18.redhat-00001",
   org.keycloak.*;version="18.0.18.redhat-00001",
   *;resolution:=optional

   Copy to Clipboard Toggle word wrap

手順

1. Red Hat Single Sign-On には org.keycloak.adapters.osgi.undertow.PaxWebIntegrationService が同梱されており、jetty-web.xml を注入してアプリケーションのセキュリティー制約を設定できます。このようなサービスをアプリケーション内の OSGI-INF/blueprint/blueprint.xml ファイルで宣言する必要があります。サーブレットはそれに依存する必要があることに注意してください。設定例:

   <?xml version="1.0" encoding="UTF-8"?>
   <blueprint xmlns="http://www.osgi.org/xmlns/blueprint/v1.0.0"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xsi:schemaLocation="http://www.osgi.org/xmlns/blueprint/v1.0.0
              http://www.osgi.org/xmlns/blueprint/v1.0.0/blueprint.xsd">
   
       <!-- Using jetty bean just for the compatibility with other fuse services -->
       <bean id="servletConstraintMapping" class="org.eclipse.jetty.security.ConstraintMapping">
           <property name="constraint">
               <bean class="org.eclipse.jetty.util.security.Constraint">
                   <property name="name" value="cst1"/>
                   <property name="roles">
                       <list>
                           <value>user</value>
                       </list>
                   </property>
                   <property name="authenticate" value="true"/>
                   <property name="dataConstraint" value="0"/>
               </bean>
           </property>
           <property name="pathSpec" value="/product-portal/*"/>
       </bean>
   
       <bean id="keycloakPaxWebIntegration" class="org.keycloak.adapters.osgi.PaxWebIntegrationService"
             init-method="start" destroy-method="stop">
           <property name="jettyWebXmlLocation" value="/WEB-INF/jetty-web.xml" />
           <property name="bundleContext" ref="blueprintBundleContext" />
           <property name="constraintMappings">
               <list>
                   <ref component-id="servletConstraintMapping" />
               </list>
           </property>
       </bean>
   
       <bean id="productServlet" class="org.keycloak.example.ProductPortalServlet" depends-on="keycloakPaxWebIntegration">
       </bean>
   
       <service ref="productServlet" interface="javax.servlet.Servlet">
           <service-properties>
               <entry key="alias" value="/product-portal" />
               <entry key="servlet-name" value="ProductServlet" />
               <entry key="keycloak.config.file" value="/keycloak.json" />
           </service-properties>
       </service>
   
   </blueprint>

   Copy to Clipboard Toggle word wrap
   • (プロジェクトが Web アプリケーションではない場合でも) プロジェクト内に WEB-INF ディレクトリーがあり、Classic WAR application セクションに、/WEB-INF/jetty-web.xml ファイルおよび /WEB-INF/keycloak.json ファイルを作成します。security-constraints が Blueprint 設定ファイルで宣言されているため、web.xml ファイルは必要ありません。

2. META-INF/MANIFEST.MF の Import-Package には、少なくとも以下のインポートが含まれている必要があります。

   org.keycloak.adapters.jetty;version="18.0.18.redhat-00001",
   org.keycloak.adapters;version="18.0.18.redhat-00001",
   org.keycloak.constants;version="18.0.18.redhat-00001",
   org.keycloak.util;version="18.0.18.redhat-00001",
   org.keycloak.*;version="18.0.18.redhat-00001",
   *;resolution:=optional

   Copy to Clipboard Toggle word wrap

1. META-INF/spring/beans.xml をアプリケーションに追加し、そのアプリケーションで、httpj:engine-factory が注入された Jetty SecurityHandler で KeycloakJettyAuthenticator を宣言します。CFX JAX-WS アプリケーションの設定は以下のようになります。

   <?xml version="1.0" encoding="UTF-8"?>
   
   <beans xmlns="http://www.springframework.org/schema/beans"
          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
          xmlns:jaxws="http://cxf.apache.org/jaxws"
          xmlns:httpj="http://cxf.apache.org/transports/http-jetty/configuration"
          xsi:schemaLocation="
           http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
           http://cxf.apache.org/jaxws http://cxf.apache.org/schemas/jaxws.xsd
           http://www.springframework.org/schema/osgi http://www.springframework.org/schema/osgi/spring-osgi.xsd
           http://cxf.apache.org/transports/http-jetty/configuration http://cxf.apache.org/schemas/configuration/http-jetty.xsd">
   
       <import resource="classpath:META-INF/cxf/cxf.xml" />
   
       <bean id="kcAdapterConfig" class="org.keycloak.representations.adapters.config.AdapterConfig">
           <property name="realm" value="demo"/>
           <property name="resource" value="custom-cxf-endpoint"/>
           <property name="bearerOnly" value="true"/>
           <property name="authServerUrl" value="http://localhost:8080/auth" />
           <property name="sslRequired" value="EXTERNAL"/>
       </bean>
   
       <bean id="keycloakAuthenticator" class="org.keycloak.adapters.jetty.KeycloakJettyAuthenticator">
           <property name="adapterConfig">
               <ref local="kcAdapterConfig" />
           </property>
       </bean>
   
       <bean id="constraint" class="org.eclipse.jetty.util.security.Constraint">
           <property name="name" value="Customers"/>
           <property name="roles">
               <list>
                   <value>user</value>
               </list>
           </property>
           <property name="authenticate" value="true"/>
           <property name="dataConstraint" value="0"/>
       </bean>
   
       <bean id="constraintMapping" class="org.eclipse.jetty.security.ConstraintMapping">
           <property name="constraint" ref="constraint"/>
           <property name="pathSpec" value="/*"/>
       </bean>
   
       <bean id="securityHandler" class="org.eclipse.jetty.security.ConstraintSecurityHandler">
           <property name="authenticator" ref="keycloakAuthenticator" />
           <property name="constraintMappings">
               <list>
                   <ref local="constraintMapping" />
               </list>
           </property>
           <property name="authMethod" value="BASIC"/>
           <property name="realmName" value="does-not-matter"/>
       </bean>
   
       <httpj:engine-factory bus="cxf" id="kc-cxf-endpoint">
           <httpj:engine port="8282">
               <httpj:handlers>
                   <ref local="securityHandler" />
               </httpj:handlers>
               <httpj:sessionSupport>true</httpj:sessionSupport>
           </httpj:engine>
       </httpj:engine-factory>
   
       <jaxws:endpoint
                       implementor="org.keycloak.example.ws.ProductImpl"
                       address="http://localhost:8282/ProductServiceCF" depends-on="kc-cxf-endpoint" />
   
   </beans>

   Copy to Clipboard Toggle word wrap

   CXF JAX-RS アプリケーションの場合、唯一の違いは、エンジンファクトリーに依存するエンドポイントの設定にある可能性があります。

   <jaxrs:server serviceClass="org.keycloak.example.rs.CustomerService" address="http://localhost:8282/rest"
       depends-on="kc-cxf-endpoint">
       <jaxrs:providers>
           <bean class="com.fasterxml.jackson.jaxrs.json.JacksonJsonProvider" />
       </jaxrs:providers>
   </jaxrs:server>

   Copy to Clipboard Toggle word wrap
2. META-INF/MANIFEST.MF の Import-Package には、これらのインポートが含まれる必要があります。

手順

1. これらのプロパティーを $FUSE_HOME/etc/system.properties ファイルに追加します。

   hawtio.keycloakEnabled=true
   hawtio.realm=keycloak
   hawtio.keycloakClientConfig=file://${karaf.base}/etc/keycloak-hawtio-client.json
   hawtio.rolePrincipalClasses=org.keycloak.adapters.jaas.RolePrincipal,org.apache.karaf.jaas.boot.principal.RolePrincipal

   Copy to Clipboard Toggle word wrap
2. レルムの Red Hat Single Sign-On 管理コンソールでクライアントを作成します。たとえば、Red Hat Single Sign-On の demo レルムでは、クライアント hawtio-client を作成し、アクセスタイプとして public を指定し、Hawtio を参照するリダイレクト URI (http://localhost:8181/hawtio/*) を指定します。対応する Web Origin も設定する必要があります (この場合は http://localhost:8181)。
3. 以下の例のような内容を使用して、$FUSE_HOME/etc ディレクトリーに keycloak-hawtio-client.json ファイルを作成します。Red Hat Single Sign-On 環境に応じて、realm、resource、および auth-server-url プロパティーを変更します。resource プロパティーは、前のステップで作成したクライアントを参照する必要があります。このファイルは、クライアント (Hawtio JavaScript アプリケーション) で使用されます。

1. 以下の例のような内容を使用して、$FUSE_HOME/etc ディレクトリーに keycloak-hawtio.json ファイルを作成します。Red Hat Single Sign-On 環境に応じて、realm プロパティーおよび auth-server-url プロパティーを変更します。このファイルは、サーバーのアダプター (JAAS ログインモジュール) 側で使用します。

   {
     "realm" : "demo",
     "resource" : "jaas",
     "bearer-only" : true,
     "auth-server-url" : "http://localhost:8080/auth",
     "ssl-required" : "external",
     "use-resource-role-mappings": false,
     "principal-attribute": "preferred_username"
   }

   Copy to Clipboard Toggle word wrap

2. JBoss Fuse 6.3.0 Rollup 12 を起動し、keycloak 機能がインストールされていない場合はインストールします。Karaf ターミナルのコマンドの例を以下に示します。

   features:addurl mvn:org.keycloak/keycloak-osgi-features/18.0.18.redhat-00001/xml/features
   features:install keycloak

   Copy to Clipboard Toggle word wrap

3. http://localhost:8181/hawtio にアクセスし、Red Hat Single Sign-On レルムからユーザーとしてログインします。

   Hawtio に対して正常に認証するには、適切なレルムロールが必要です。利用可能なロールは、hawtio.roles の $FUSE_HOME/etc/system.properties ファイルで設定されます。

手順

1. /WEB-INF/web.xml ファイルで、必要を宣言します。

   • <security-constraint> 要素のセキュリティー制約
   • <login-config> 要素のログイン設定。<auth-method> が KEYCLOAK であることを確認します。

   • <security-role> 要素のセキュリティーロール

     以下に例を示します。

     <?xml version="1.0" encoding="UTF-8"?>
     <web-app xmlns="http://java.sun.com/xml/ns/javaee"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
              version="3.0">
     
         <module-name>customer-portal</module-name>
     
         <welcome-file-list>
             <welcome-file>index.html</welcome-file>
         </welcome-file-list>
     
         <security-constraint>
             <web-resource-collection>
                 <web-resource-name>Customers</web-resource-name>
                 <url-pattern>/customers/*</url-pattern>
             </web-resource-collection>
             <auth-constraint>
                 <role-name>user</role-name>
             </auth-constraint>
         </security-constraint>
     
         <login-config>
             <auth-method>KEYCLOAK</auth-method>
             <realm-name>does-not-matter</realm-name>
         </login-config>
     
         <security-role>
             <role-name>admin</role-name>
         </security-role>
         <security-role>
             <role-name>user</role-name>
         </security-role>
     </web-app>

     Copy to Clipboard Toggle word wrap

2. WAR の /WEB-INF/ ディレクトリー内で、新しいファイル keycloak.json を作成します。この設定ファイルの形式は、Java アダプター設定 のセクションで説明されています。外部アダプターの設定 で説明されているように、このファイルを外部から利用できるようにすることもできます。

   以下に例を示します。

   {
       "realm": "demo",
       "resource": "customer-portal",
       "auth-server-url": "http://localhost:8080/auth",
       "ssl-required" : "external",
       "credentials": {
           "secret": "password"
       }
   }

   Copy to Clipboard Toggle word wrap
3. Fuse 6 アダプターとは異なり、MANIFEST.MF には特別な OSGi インポートは必要ありません。

手順

1. Red Hat Single Sign-On は、org.keycloak.adapters.osgi.undertow.PaxWebIntegrationService を提供します。これにより、アプリケーションの認証方法とセキュリティー制約を設定できます。このようなサービスをアプリケーション内の OSGI-INF/blueprint/blueprint.xml ファイルで宣言する必要があります。サーブレットはそれに依存する必要があることに注意してください。設定例:

   <?xml version="1.0" encoding="UTF-8"?>
   <blueprint xmlns="http://www.osgi.org/xmlns/blueprint/v1.0.0"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xsi:schemaLocation="http://www.osgi.org/xmlns/blueprint/v1.0.0 http://www.osgi.org/xmlns/blueprint/v1.0.0/blueprint.xsd">
   
       <bean id="servletConstraintMapping" class="org.keycloak.adapters.osgi.PaxWebSecurityConstraintMapping">
           <property name="roles">
               <list>
                   <value>user</value>
               </list>
           </property>
           <property name="authentication" value="true"/>
           <property name="url" value="/product-portal/*"/>
       </bean>
   
       <!-- This handles the integration and setting the login-config and security-constraints parameters -->
       <bean id="keycloakPaxWebIntegration" class="org.keycloak.adapters.osgi.undertow.PaxWebIntegrationService"
             init-method="start" destroy-method="stop">
           <property name="bundleContext" ref="blueprintBundleContext" />
           <property name="constraintMappings">
               <list>
                   <ref component-id="servletConstraintMapping" />
               </list>
           </property>
       </bean>
   
       <bean id="productServlet" class="org.keycloak.example.ProductPortalServlet" depends-on="keycloakPaxWebIntegration" />
   
       <service ref="productServlet" interface="javax.servlet.Servlet">
           <service-properties>
               <entry key="alias" value="/product-portal" />
               <entry key="servlet-name" value="ProductServlet" />
               <entry key="keycloak.config.file" value="/keycloak.json" />
           </service-properties>
       </service>
   </blueprint>

   Copy to Clipboard Toggle word wrap

   (プロジェクトが Web アプリケーションではない場合でも) プロジェクト内に WEB-INF ディレクトリーがあり、Classic WAR application で説明されているように、/WEB-INF/keycloak.json ファイルを作成します。security-constraints が Blueprint 設定ファイルで宣言されているため、web.xml ファイルは必要ありません。

2. Fuse 6 アダプターとは異なり、MANIFEST.MF には特別な OSGi インポートは必要ありません。

手順

1. OSGI-INF/blueprint/blueprint.xml をアプリケーションに追加し、Camel 設定 と同様に適切な設定リゾルバー Bean を追加します。httpu:engine-factory では、camel 設定を使用した org.keycloak.adapters.osgi.undertow.CxfKeycloakAuthHandler ハンドラーを宣言します。CFX JAX-WS アプリケーションの設定は以下のようになります。

   <?xml version="1.0" encoding="UTF-8"?>
   <blueprint xmlns="http://www.osgi.org/xmlns/blueprint/v1.0.0"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xmlns:jaxws="http://cxf.apache.org/blueprint/jaxws"
              xmlns:cxf="http://cxf.apache.org/blueprint/core"
              xmlns:httpu="http://cxf.apache.org/transports/http-undertow/configuration".
              xsi:schemaLocation="
         http://cxf.apache.org/transports/http-undertow/configuration http://cxf.apache.org/schemas/configuration/http-undertow.xsd
         http://cxf.apache.org/blueprint/core http://cxf.apache.org/schemas/blueprint/core.xsd
         http://cxf.apache.org/blueprint/jaxws http://cxf.apache.org/schemas/blueprint/jaxws.xsd">
   
       <bean id="keycloakConfigResolver" class="org.keycloak.adapters.osgi.BundleBasedKeycloakConfigResolver" >
           <property name="bundleContext" ref="blueprintBundleContext" />
       </bean>
   
       <httpu:engine-factory bus="cxf" id="kc-cxf-endpoint">
           <httpu:engine port="8282">
               <httpu:handlers>
                   <bean class="org.keycloak.adapters.osgi.undertow.CxfKeycloakAuthHandler">
                       <property name="configResolver" ref="keycloakConfigResolver" />
                   </bean>
               </httpu:handlers>
           </httpu:engine>
       </httpu:engine-factory>
   
       <jaxws:endpoint implementor="org.keycloak.example.ws.ProductImpl"
                       address="http://localhost:8282/ProductServiceCF" depends-on="kc-cxf-endpoint"/>
   
   </blueprint>

   Copy to Clipboard Toggle word wrap

   CXF JAX-RS アプリケーションの場合、唯一の違いは、エンジンファクトリーに依存するエンドポイントの設定にある可能性があります。

   <jaxrs:server serviceClass="org.keycloak.example.rs.CustomerService" address="http://localhost:8282/rest"
       depends-on="kc-cxf-endpoint">
       <jaxrs:providers>
           <bean class="com.fasterxml.jackson.jaxrs.json.JacksonJsonProvider" />
       </jaxrs:providers>
   </jaxrs:server>

   Copy to Clipboard Toggle word wrap
2. META-INF/MANIFEST.MF の Import-Package には、これらのインポートが含まれる必要があります。

手順

1. レルムの Red Hat Single Sign-On 管理コンソールでクライアントを作成します。たとえば、Red Hat Single Sign-On の demo レルムでは、クライアント hawtio-client を作成し、アクセスタイプとして public を指定し、Hawtio を参照するリダイレクト URI (http://localhost:8181/hawtio/*) を指定します。対応する Web Origin (この場合は http://localhost:8181) を設定します。hawtio-client クライアント詳細の Scope タブにある account クライアントの view-profile クライアントロールを含むように、クライアントスコープマッピングを設定します。

2. 以下の例のような内容を使用して、$FUSE_HOME/etc ディレクトリーに keycloak-hawtio-client.json ファイルを作成します。Red Hat Single Sign-On 環境に応じて、realm、resource、および auth-server-url プロパティーを変更します。resource プロパティーは、前のステップで作成したクライアントを参照する必要があります。このファイルは、クライアント (Hawtio JavaScript アプリケーション) で使用されます。

   {
     "realm" : "demo",
     "clientId" : "hawtio-client",
     "url" : "http://localhost:8080/auth",
     "ssl-required" : "external",
     "public-client" : true
   }

   Copy to Clipboard Toggle word wrap

3. 以下の例のような内容を使用して、$FUSE_HOME/etc ディレクトリーに keycloak-direct-access.json ファイルを作成します。Red Hat Single Sign-On 環境に応じて、realm プロパティーおよび url プロパティーを変更します。このファイルは JavaScript クライアントによって使用されます。

   {
     "realm" : "demo",
     "resource" : "ssh-jmx-admin-client",
     "auth-server-url" : "http://localhost:8080/auth",
     "ssl-required" : "external",
     "credentials": {
       "secret": "password"
     }
   }

   Copy to Clipboard Toggle word wrap

4. 以下の例のような内容を使用して、$FUSE_HOME/etc ディレクトリーに keycloak-hawtio.json ファイルを作成します。Red Hat Single Sign-On 環境に応じて、realm プロパティーおよび auth-server-url プロパティーを変更します。このファイルは、サーバーのアダプター (JAAS ログインモジュール) 側で使用します。

   {
     "realm" : "demo",
     "resource" : "jaas",
     "bearer-only" : true,
     "auth-server-url" : "http://localhost:8080/auth",
     "ssl-required" : "external",
     "use-resource-role-mappings": false,
     "principal-attribute": "preferred_username"
   }

   Copy to Clipboard Toggle word wrap

5. JBoss Fuse 7.4.0 を起動し、Keycloak 機能をインストール します。次に、Karaf ターミナルで以下を入力します。

   system:property -p hawtio.keycloakEnabled true
   system:property -p hawtio.realm keycloak
   system:property -p hawtio.keycloakClientConfig file://\${karaf.base}/etc/keycloak-hawtio-client.json
   system:property -p hawtio.rolePrincipalClasses org.keycloak.adapters.jaas.RolePrincipal,org.apache.karaf.jaas.boot.principal.RolePrincipal
   restart io.hawt.hawtio-war

   Copy to Clipboard Toggle word wrap

6. http://localhost:8181/hawtio にアクセスし、Red Hat Single Sign-On レルムからユーザーとしてログインします。

   Hawtio に対して正常に認証するには、適切なレルムロールが必要です。利用可能なロールは、hawtio.roles の $FUSE_HOME/etc/system.properties ファイルで設定されます。

手順

1. Maven を使用してスターターをプロジェクトに追加するには、以下を依存関係に追加します。

   <dependency>
       <groupId>org.keycloak</groupId>
       <artifactId>keycloak-spring-boot-starter</artifactId>
   </dependency>

   Copy to Clipboard Toggle word wrap

2. アダプター BOM 依存関係を追加します。

   <dependencyManagement>
     <dependencies>
       <dependency>
         <groupId>org.keycloak.bom</groupId>
         <artifactId>keycloak-adapter-bom</artifactId>
         <version>18.0.18.redhat-00001</version>
         <type>pom</type>
         <scope>import</scope>
       </dependency>
     </dependencies>
   </dependencyManagement>

   Copy to Clipboard Toggle word wrap

手順

1. keycloak.json ファイルの代わりに、通常の Spring Boot 設定を介して Spring Boot アダプターのレルムを設定します。以下に例を示します。

   keycloak.realm = demorealm
   keycloak.auth-server-url = http://127.0.0.1:8080/auth
   keycloak.ssl-required = external
   keycloak.resource = demoapp
   keycloak.credentials.secret = 11111111-1111-1111-1111-111111111111
   keycloak.use-resource-role-mappings = true

   Copy to Clipboard Toggle word wrap

   keycloak.enabled = false を設定して、Keycloak Spring Boot Adapter (テストなど) を無効できます。

2. Policy Enforcer を設定するには、keycloak.json とは異なり、policy-enforcer ではなく policy-enforcer-config を使用します。

3. 通常 web.xml にある Java EE セキュリティー設定を指定します。

   Spring Boot Adapter は login-method を KEYCLOAK に設定し、起動時に security-constraints を設定します。以下は、設定例です。

   keycloak.securityConstraints[0].authRoles[0] = admin
   keycloak.securityConstraints[0].authRoles[1] = user
   keycloak.securityConstraints[0].securityCollections[0].name = insecure stuff
   keycloak.securityConstraints[0].securityCollections[0].patterns[0] = /insecure
   
   keycloak.securityConstraints[1].authRoles[0] = admin
   keycloak.securityConstraints[1].securityCollections[0].name = admin stuff
   keycloak.securityConstraints[1].securityCollections[0].patterns[0] = /admin

   Copy to Clipboard Toggle word wrap

1. ユーザーが 1 つのアプリケーションからログアウトリクエストを送信します。
2. アプリケーションはログアウトリクエストを Red Hat Single Sign-On に送信します。
3. Red Hat Single Sign-On サーバーは、ユーザーセッションを無効にします。
4. 次に、Red Hat Single Sign-On サーバーは、セッションに関連付けられた管理 URL を持つアプリケーションにバックチャネルリクエストを送信します。
5. アプリケーションがログアウトリクエストを受け取ると、対応する HTTP セッションが無効になります。

1. 新規アプリケーションノードがクラスターに参加すると、登録要求を Red Hat Single Sign-On サーバーに送信します。
2. 要求は、定期的な間隔で Red Hat Single Sign-On に再送される場合があります。
3. Red Hat Single Sign-On サーバーが、指定のタイムアウト内で再登録要求を受信しない場合は、自動的に特定のノードの登録を解除します。
4. このノードは、登録されていないリクエストを送信する際に、Red Hat Single Sign-On でも登録が解除されます。これは通常、ノードのシャットダウンまたはアプリケーションのアンデプロイメント中に行われます。これは、アンデプロイメントリスナーが呼び出されていない場合に強制シャットダウンが適切に動作しないため、自動登録解除が必要になります。