FOSDEM 2025からのOpenID ConnectとKeycloakに関する新しい動画

概要: OAuth 2.0は、保護されたリソースへのアクセスを許可するためにアクセストークンを使用します。シングルページアプリケーションを使用する場合、これらのトークンはHTTPヘッダーを使用してブラウザからサーバーにベアラートークンとして渡されます。

TLSを使用して転送中に保護されていますが、これらのトークンはブラウザから盗まれたり、リプレイされたり、悪意のあるサーバーや脆弱なサーバーによって悪用されたりする可能性があります。OAuth 2.0 Demonstrating Proof-of-Possession (DPoP) は、クライアント（シングルページアプリケーションなど）にキーペアを装備することで、これをさらに一歩進め、アクセストークンを渡す際に証明を示すことができるようにすることで、他の誰もアクセストークンを使用できないようにします。DPoPは、OpenID FoundationによるFAPI 2.0セキュリティプロファイルの一部です。金融、e-ヘルス、e-ガバメントアプリケーションなど、価値が高く機密性の高い（個人およびその他の）データを公開するAPIを保護するためのベストプラクティスを推進しています。

この講演では、コンセプトを説明し、Keycloakやその他のオープンソースコンポーネントを使用してこれを実装する方法をデモします。また、このアプローチの現在の課題、制限事項、および代替案についても説明します。

概要: 最新のWebアプリケーションは、認証/認可インフラストラクチャに強く依存しています。これらのニーズに対応するために、OSSコミュニティは、JSONとRESTの上に構築されたOpenIdConnectやOAuth2などのオープンプロトコルを強く支持してきました。その結果、これらのプロトコルは、Keycloak、WSO2、Lemonldapなどのソフトウェア製品に実装されています。

OpenId ConnectとOAuth2は、アイデンティティプロバイダーが提供する認証と密接に関連する認可プロトコルです。これらは、OpenId FoundationやInternet Engineering Task Forceなどのさまざまな標準化団体内で設計されてきました。これらの標準を理解することは要求されますが、機能豊富なソリューションを実装し、実装者に提供されるさまざまなオプションを理解するためには必要です。

したがって、この講演では、OIDCとOAuthについて詳細に議論します。標準クライアントのアクセストークンを取得するために存在するさまざまなフローと、これらのプロトコルによって可能になる高度な機能について説明します。

OAuth 2.0/OIDCおよびKeycloakやEntry IDなどの他のREST APIに基づくアイデンティティプロバイダー（IdP）は、Webベースアプリケーションのアイデンティティ管理において支配的な役割を果たしています。しかし、内部アプリケーションにIdPを使用している組織は、LINUX/POSIXユーザーワークステーションへのアクセスと認証を管理するために、通常はLDAPベースの他のサービスを使用する必要があります。

アイデンティティ管理のために2つのサービスを実行することを避けるために、SSSDはIdPを使用してユーザーを検索し、IdPに対して認証を開始しました。LDAPとは対照的に、IdPの世界ではPOSIXユーザーとグループに関する標準や慣例はありません。

この講演では、SSSDがIdPからユーザーおよびグループ情報を取得する方法、POSIXに必要な情報（数値ユーザーIDやグループIDなど）がどのように作成されるか、およびどのような制限があるかに焦点を当てます。さらに、認証にOAuth 2.0 Device Authorization Flowが選択された理由と、そのデモンストレーションについて説明します。

概要: ユーザー認証は、ユーザーごとにユーザー名とパスワードを使用するシンプルなものから始めることができます。しかし、パスワード忘れやユーザー登録も処理する必要があります。また、メールアドレスの検証、二要素認証の追加、必要に応じたユーザープロファイル情報の更新、さらにはパスワードレス認証の提供も検討する必要があるかもしれません。

Keycloakのようなシングルサインオンシステムは、それらすべてを処理でき、認証後にOpenID ConnectやSAMLのような業界標準を使用してユーザーをアプリケーションにリダイレクトします。

この講演に参加して、認証に関するすべてのタスクをKeycloakに委任する方法をご覧ください。まずシンプルなものから始め、デモで機能をさらに追加して、Keycloakの機能と柔軟性を示します。また、最新リリースと今後のロードマップの機能についても見ていきます。