3.8. ログインオプションの制御
Red Hat Single Sign-On には、複数の組み込みログインページ機能が含まれています。
3.8.1. forgot password 有効化
Forgot Password を有効にすると、パスワード を取得するか、OTP ジェネレーターを失う場合に、ログイン認証情報をリセットできます。
手順
- メニューで Realm Settings をクリックします。
Login タブをクリックします。
ログインタブ
Forgot Password を ON に切り替えます。
forgot passwordリンクがログインページに表示されます。forgot password リンク
このリンクをクリックして、ユーザー名またはメールアドレスを入力し、リンクのある電子メールを受信して認証情報をリセットできるユーザーを追加します。
Forgot password ページ
メールで送信されるテキストは設定可能です。詳細は、サーバー開発者ガイド を参照してください。
ユーザーがメールリンクをクリックすると、Red Hat Single Sign-On によりパスワードが更新され、OTP ジェネレーターを設定している場合は、Red Hat Single Sign-On により OTP ジェネレーターが再設定するよう要求されます。組織のセキュリティー要件によっては、ユーザーが電子メールで OTP ジェネレーターをリセットしたくないことがあります。
この動作を変更するには、以下の手順を実施します。
手順
- メニューで Authentication をクリックします。
- Flows タブをクリックします。
Reset Credentials フローを選択します。
認証情報フローをリセット
OTP をリセットしない場合は、
Reset OTPの要件を Disabled に設定します。- Required Actions タブをクリックします。Update Password が有効になっていることを確認します。
3.8.2. Remember Me の有効化
ブラウザーを閉じたログインユーザーはセッションを破棄し、そのユーザーは再度ログインする必要があります。ログイン時に Remember Me チェックボックスをクリックし、ユーザーのログインセッションを開いたままに Red Hat Single Sign-On を設定できます。このアクションは、ログインクッキーをセッションのみのクッキーから永続クッキーに変換します。
手順
- メニューで Realm Settings をクリックします。
- Login タブをクリックします。
Remember Me を ON に切り替えます。
ログインタブ
この設定を保存すると、レルムのログインページに remember me チェックボックスが表示されます。
Remember Me
3.8.3. ACR から認証レベル (LoA) へのマッピング
レルムのログイン設定では、どの Authentication Context Class Reference (ACR) 値をどの Level of Authentication (LoA) マップするかを定義できます。ACR には任意の値を指定できますが、LA は数値でなければなりません。acr 要求は、OIDC 要求で送信される claim または acr_values パラメーターで要求でき、アクセストークンおよび ID トークンにも含めることができます。マッピングされた番号は、認証フロー条件で使用されます。
特定のクライアントがレルムとは異なる値を使用する必要がある場合は、マッピングをクライアントレベルで指定することもできます。ただし、レルムマッピングを行うのがベストプラクティスです。
詳細については、ステップアップ認証 と 公式の OIDC 仕様 を参照してください。
3.8.3.1. 電子メールワークフローの更新 (UpdateEmail)
このワークフローでは、ユーザーは UPDATE_EMAIL アクションを使用して独自のメールアドレスを変更する必要があります。
アクションは、単一のメール入力フォームに関連付けられます。レルムの電子メール検証が無効な場合は、この動作により、検証なしに電子メールを更新できます。レルムで電子メールの検証が有効になっている場合は、アカウントメールを変更せずにアクションが新しいメールアドレスにメール更新アクショントークンを送信します。トリガーされるアクショントークンのみがメールの更新を完了します。
アプリケーションは UPDATE_EMAIL を AIA (Application Initiated Action) として利用することで、ユーザーをメール更新フォームに送信できます。
UpdateEmail は テクノロジープレビュー であるため、完全にサポートされていません。デフォルトでは無効になっています。
-Dkeycloak.profile=preview または -Dkeycloak.profile.feature.update_email=enabled でサーバーの起動を有効にするには、以下を行います、詳細は、Profiles を参照してください。
この機能を有効にして、以前のバージョンから移行する場合は、レルムで 電子メールの更新に必要なアクションを有効にします。そうでない場合は、メールアドレスを更新できません。
