管理者ブートストラップとリカバリー

以下のいずれかの方法で作成されたユーザーまたはサービス管理者アカウントは**一時的なもの**です。これは、アカウントが永続的でより安全な管理者アクセスを取得するために必要な操作を実行するために必要な期間のみ存在すべきであることを意味します。その後、アカウントは手動で削除する必要があります。管理コンソールの警告バナー、ラベル、ログメッセージなど、さまざまなUI/UX要素は、アカウントが一時的なものであることをKeycloak管理者に示します。

Keycloakのstartおよびstart-devコマンドは、一時的な管理者ユーザーと管理者サービスアカウントの両方をブートストラップするためのオプションをサポートしています。これらのオプションは標準の構成オプションであるため、環境変数やCLIパラメーターなどの構成ソースのいずれかで指定できます。たとえば、次の例は、CLIパラメーター付きのstartおよびstart-devコマンドを使用して、一時的な管理者ユーザーと管理者サービスアカウントをそれぞれブートストラップする方法を示しています。

ユーザー名またはクライアントIDの値は省略できます。詳細については、以下の「デフォルト値」セクションを参照してください。

これらのオプションの目的は、一時的な管理者アカウントをブートストラップすることのみです。これらのアカウントは、マスターレルムがまだ存在しないKeycloakサーバーの最初の起動時にのみ作成されます。アカウントは常にマスターレルムに作成されます。管理者アクセスを回復するには、以下のセクションで説明されている専用コマンドを使用してください。

bootstrap-adminコマンドは、Keycloakの最初の起動前でも実行できます。このコマンドを使用する前に、すべてのKeycloakノードを停止する必要があることに注意してください。その実行は初期マスターレルムの作成をトリガーし、その結果、サーバーが初めて起動されるときに、管理者ユーザーとサービスアカウントをブートストラップするための起動オプションは後で無視されます。

さらに、Keycloakサーバーが起動されるのと同じオプション（例：dbオプション）で専用コマンドを使用することを強くお勧めします。

Keycloakの構成で概説されているように、buildコマンドで最適化されたバージョンのKeycloakを構築した場合、--optimizedコマンドラインオプションを使用して、Keycloakにビルドチェックをスキップさせて起動時間を短縮します。これを行う場合は、コマンドラインからビルド時間オプションを削除し、ランタイムオプションのみを保持してください。

パスワードレス、OTP、またはその他の高度な認証方法を、管理者アクセスが失われたレルムに強制できます。そのような場合、レルムへの失われた管理者アクセスを回復するには、管理者サービスアカウントを作成する必要があります。サービスアカウントが作成されたら、必要なすべての操作を実行するには、Keycloakインスタンスに対する認証が必要です。

次に、credentialIdを取得します。この例では、OTPクレデンシャルが関連するものです。次のコマンドを使用してCredentialRepresentationオブジェクトの配列を取得し、typeがotpに設定されているオブジェクトを見つけます。

最後に、取得したIDを使用して、高度な認証方法（この場合はOTP）を削除できます。

起動シナリオと専用コマンドシナリオの両方で、ユーザー名とクライアントIDはオプションであり、ユーザーアカウントとサービスアカウントの両方でそれぞれtemp-adminがデフォルトになります。

パラメーターのプロンプトを無効にするには、--no-promptパラメーターを使用できます。例：

対応する環境変数が設定されていない場合、コマンドは必須のパスワードパラメーターが欠落していることを示すエラーメッセージで失敗します。

--no-promptパラメーターは、ユーザー名またはクライアントIDを省略する必要がある場合に役立ちます。例：

これにより、確認を求めるプロンプトなしに、デフォルトのユーザー名を持つ一時的な管理者ユーザーが作成されます。詳細については、上記の「デフォルト値」セクションを参照してください。

bootstrap-admin userコマンドの場合、ユーザー名とパスワードの両方を環境変数としてオプションで設定できます。

bootstrap-admin serviceコマンドの場合、クライアントIDはオプションであり、temp-adminがデフォルトですが、クライアントシークレットは環境変数として設定する必要があります。