Keycloakのインストールと構築例

リスト1：OpenJDK 8のインストール

$ sudo yum install java

リスト2：Keycloackのzipファイルを解凍

$ unzip keycloak-9.0.3.zip

リスト3：管理者アカウントの作成

$ cd keycloak-9.0.3
$ ./bin/add-user-keycloak.sh -u admin

リスト4：Keycloakの起動

$ ./bin/standalone.sh -b 0.0.0.0

リスト5：Keycloak起動の成功をログで確認

13:54:22,252 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0025: Keycloak 9.0.3 (WildFly Core 10.0.3.Final) started in 14765ms - Started 590 of 885 services (601 services are lazy, passive or on-demand)

リスト6：トークンを発行してみる

$ curl http://<hostname>:8080/auth/realms/sample_service/protocol/openid-connect/token -d "grant_type=password&client_id=sample_application&client_secret=<client secret>&username=sample_user&password=<password>&scope=openid"

リスト7：トークン発行に成功した際のレスポンスの例

{
  "access_token": "<access token>",
  "expires_in": 300,
  "refresh_expires_in": 1800,
  "refresh_token": "<refresh token>",
  "token_type": "bearer",
  "id_token": "<id token>",
  "not-before-policy": 0,
  "session_state": "75760e1a-853a-4e9c-94b7-7fe0cab77b6e",
  "scope": "openid profile email"
}

リスト8：アクセストークンの形式

base64url(Header).base64url(Payload).base64url(Signature)

リスト9：Payloadをbase64urlデコードしてみた結果の例

{
  "exp": 1589767810,
  "iat": 1589767510,
  "jti": "c5d29c74-d37f-4d9f-8ebc-bd56495900f7",
  "iss": " http://<hostname>:8080/auth/realms/sample_service",
  "aud": "account",
  "sub": "f8d84f8c-7237-414b-8c24-42deb0237eea",
  "typ": "Bearer",
  "azp": "sample_application",
  "session_state": "e16a38f4-5205-4ed7-80cf-f1c1b6bb7be4",
  "acr": "1",
  "realm_access": {
    "roles": [
      "offline_access",
      "uma_authorization"
    ]
  },
  "resource_access": {
    "account": {
      "roles": [
        "manage-account",
        "manage-account-links",
        "view-profile"
      ]
    }
  },
  "scope": "openid profile email",
  "email_verified": false,
  "preferred_username": "sample_user"
}

リスト10：NGINX用のyumリポジトリの作成

[nginx-stable]
name=nginx stable repo
baseurl=http://nginx.org/packages/centos/$releasever/$basearch/
gpgcheck=1
enabled=1
gpgkey=https://nginx.org/keys/nginx_signing.key
module_hotfixes=true

リスト11：NGINXのインストール

$ sudo yum install nginx

リスト12：インストールしたNGINXのバージョン確認

$ nginx -v
nginx version: nginx/1.18.0

リスト13：NGINXの起動

$ sudo systemctl start nginx

リスト14：リバースプロキシの設定

server {
    listen                             8008;
    ignore_invalid_headers              off;

    location / {
        proxy_set_header X-Forwarded-For    $proxy_add_x_forwarded_for;
        proxy_set_header X-Real-IP          $remote_addr;
        proxy_set_header Connection         close;
        proxy_pass http://<APIサーバhostname>:<port>;
    }
}

リスト15：構成定義ファイルのリロード

$ sudo nginx -s reload

リスト16：リバースプロキシの動作確認

$ curl http://＜APIゲートウェイhostname＞:8008/echo
Hello!

リスト17：JavaScript Moduleのインストール

$ sudo yum install nginx-module-njs

リスト18：JavaScript Moduleの設定を追加

load_module modules/ngx_http_js_module.so;
load_module modules/ngx_stream_js_module.so;

リスト19：トークンイントロスペクションの設定を追加

js_include oauth2.js;

map $http_authorization $access_token {
    ~^Bearer\s+(\S+)$ $1;
}

server {
    …

    location / {
        auth_request /_oauth2_token_introspection;
        …
    }

    location = /_oauth2_token_introspection {
        internal;
        js_content introspectAccessToken;
    }

    location = /_oauth2_send_request {
        internal;
        proxy_method      POST;
        proxy_set_header  Content-Type "application/x-www-form-urlencoded";
        proxy_set_body    "token=$access_token&token_hint=access_token&client_id=sample_api_gateway&client_secret=<client secret>";
        proxy_pass        http://＜認可サーバhostname＞:8080/auth/realms/sample_service/protocol/openid-connect/token/introspect;
    }
}

リスト20：ロジックの記述を追加

function introspectAccessToken(r) {
    r.subrequest("/_oauth2_send_request",
        function(reply) {
            if (reply.status == 200) {
                var response = JSON.parse(reply.responseBody);
                if (response.active == true) {
                    r.return(204);
                } else {
                    r.return(403);
                }
            } else {
                r.return(401);
            }
        }
    );
}

リスト21：構成定義ファイルのリロード

$ sudo nginx -s reload

リスト22：アクセストークンなしだと「403 Forbidden」が返される

$ curl http://＜APIゲートウェイhostname＞:8008/echo
<html>
<head><title>403 Forbidden</title></head>
<body>
<center><h1>403 Forbidden</h1></center>
<hr><center>nginx/1.18.0</center>
</body>
</html>

リスト23：有効期限切れのアクセストークンでも「403 Forbidden」となる

$ curl http://＜APIゲートウェイhostname＞:8008/echo -H "Authorization: Bearer ＜access token＞"
<html>
<head><title>403 Forbidden</title></head>
<body>
<center><h1>403 Forbidden</h1></center>
<hr><center>nginx/1.18.0</center>
</body>
</html>

リスト24：APIコールに成功

$ curl http://＜APIゲートウェイhostname＞:8008/echo -H "Authorization: Bearer ＜access token＞"
Hello!