Keycloakの概要

Keycloak（キークローク）とは、Web上でのシングルサインオン（SSO）（※1）を実現するためのJavaベースのIAM (Identity and Access Management) のソフトウェアで、2014年にバージョン1.0.0がリリースされた、競合他社製品に比較すると後発のものとなります。Keycloakは、Red Hat JBossプロジェクトが開発を進めているOSS（オープンソースソフトウェア）であり、Apacheライセンスとしてソースコードが公開されています。Keycloakは、アプリケーションやサービスとの連携を目的としており、SAML、OpenID Connectに対応した認証・認可だけではなく、多要素認証やSNS認証、LDAP連携等の多くの機能が備わっています。

また、Red Hat社は、公式サブスクリプションの「Red Hat JBoss EAP」に付属する製品として（※2）、Keycloakをベースとした「Red Hat SSO」を販売しています。「Red Hat JBoss EAP」および「Red Hat SSO」の保守サポートやマイグレーションについても、弊社までお気軽にお問い合わせください。

※1　シングルサインオン (Single Sign-On：SSO) とは、複数の情報システムのユーザIDを統合管理し、利用するシステム毎にユーザID/パスワード等の入力による認証を必要とせず、一度だけの認証（一つのユーザIDとパスワード）で複数のシステムを利用できる仕組みです。シングルサインオンはユーザやシステム管理者の ID管理の手間を軽減するだけでなく、個人情報の漏洩防止やセキュリティ対策、アクセス制御を統合・強化といった観点からも現在多くの企業にとって欠かせないものになっています。
※2Keycloak 17.0.0からJBoss EAPではなく、Quarkusに付属する製品として提供されています。

Keycloakの業界標準仕様対応

Keycloakは、業界標準の、以下の仕様をサポートしています。

• SAML 2.0
  標準化団体OASISによって策定された、IDやパスワードなどの認証情報を安全に交換するためのXML仕様です。歴史あるプロトコルのため、多くのアイデンティティ管理ベンダーによって実装されており、提供されているサービスやソフトウェアが多く、GoogleやSalesforceなどのクラウドサービス、学認（Shibboleth）などとの連携が可能です。
• OpenID Connect
  標準化団体OpenID Foundationによって策定されたREST/JSONベースのプロトコルです。OAuth 2.0をベースに認証目的でも利用できるように拡張しています。野村総合研究所、グーグルなどにより開発が開始され、2014年2月に最終承認された現在最も新しいフェデレーションプロトコルです。グーグル、マイクロソフト、セールスフォースなど多くの企業がサポートしており、現在はデファクトスタンダードとなっています。
• OAuth 2.0
  OAuth 2.0は仕様が簡略化され使いやすくなった次世代のOAuthプロトコルであり、クライアントとなるWebアプリ、デスクトップアプリ、スマートフォン、リビングデバイス等のクライアントプロファイルを仕様化しています。認証ではなく、認可（どのリソースにアクセスできるか）について規定している点で他のプロトコルとは異なります。Facebook、Google、Microsoftなどの多くの企業のさまざまなサービスで実装されています。
  

KeycloakとOpenAMの機能比較

OpenAMは、Keycloakと同じくシングルサインオンを実現するためのOSSであり、数多くの導入実績があります。KeycloakとOpenAMの機能比較は以下となります。

[1] Javaクライアントアダプタを利用していることが前提となります。
[2] 実装されていない機能のため、別途、個別のカスタマイズが必要となります。OpenAMは、OpenAMと連携可能なOpenIGというソフトウェアにより代理認証が実現できます。

Keycloakの主な機能

シングルサインオン機能

Keycloakで認証されたユーザは、Keycloakで管理したリソースに再度認証（パスワードを再入力）する必要なくアクセスできます。

＜実現方式＞

パターンA：アダプタ方式	パターンB：リバースプロキシ方式
連携システムのサーバ内に、シングルサインオンするためのモジュール（クライアントアダプタ）を組み込む方式です。	ユーザからのアクセスを一度、クライアントアダプタを導入したサーバが受け、そのリクエストを連携システムへ中継する方式です。

フェデレーション（連携）機能

ID管理が独立した複数のサイト間でのシングルサインオンができる機能です。例えば、Salesforce CRM、Google Workspaceのような他社の異なるドメインのWebアプリケーションに対しても自分のID/パスワードでシングルサインオンが可能です。フェデレーションを実現するための、業界標準の認証プロトコル「SAML」や「OpenID Connect」に対応しています。また、KeycloakはFacebook、Google、Twitter等のソーシャルネットワーキングサービスや、既存のOpenID Connectプロバイダ、もしくはSAML 2.0プロバイダと連携させることで、それらに登録されているIDによりKeycloakにログインさせることが可能です。連携させるにはコードやアプリケーション側の修正は不要で、Keycloakの管理コンソールで設定を追加するだけです。

ID管理機能

Keycloakは以下の属性を管理できます。

管理者は上記属性を一般ユーザに割り振る権限を持ちます。

イベントロギング機能

監査の目的で、ログインイベント（ログインやログアウト、メールアドレスの変更やパスワードリセット等の操作）と管理イベント（管理コンソール上で行った操作）を記録・閲覧することができます。

マルチテナント機能

Keycloakはレルムという単位ごとに設定を管理しています。レルムを複数作成することによりマルチテナントでの利用が可能です。

セルフサービス機能

ユーザ自身によるアカウント管理ができます。管理機能は以下の通りです。

• アカウントの登録
  ログイン画面のリンクから新規ユーザ登録が可能です。
• パスワードリセット
  ログイン画面のリンクからパスワード変更が可能です。入力したメールアドレス宛に送られたメールに記載されたリンクをクリックすることで登録が完了します。
• ユーザ属性の変更
  自身のユーザ属性（ユーザ名やメールアドレス等）を変更することが可能です。

タイムアウト機能

システムを一定期間使用していない場合に、自動的にログオフします。

管理コンソール機能

Keycloakの管理コンソールにより、管理者は前述の機能を集中管理することができます。

Keycloakの主な特徴

Keycloakは、次のような特徴があります

Keycloakのユースケース(連携事例)

Keycloakは、SAML 2.0とOAuth 2.0/OpenID Connect 1.0を実装しており、これらのプロトコルを使って、様々なサービスやソフトウェアと連携することができます。

Keycloakとともに開発されているクライアントアダプターなどの連携用ソフトウェアを使用すれば、前述のプロトコルに対応していない以下と連携することもできます。

以下のサービスのアカウントを使ったログイン（ソーシャルログイン）を実現することもできます。

以下のユーザーストレージと連携することもできます。

他にも多数のサービスやソフトウェアと連携することができます。

Keycloakの動作環境

Keycloakのライセンス

Keycloakは、Apache 2.0ライセンスです。Apache License（アパッチ・ライセンス）のコードが使用されていることの明記を条件に、ソースコードの自由な改変と公開が認められています。Keycloakのライセンスについてご不明な点がありましたら、お気軽にお問い合わせください。

Keycloakのダウンロード

Keycloakダウンロードページ
（リンク：http://www.keycloak.org/）

関連OSS

OpenAM
（リンク：https://openstandia.jp/oss_info/openam/index.html）

Keycloakのサポート