Cloud Native Community Japan Kickoff meetup

1. © Hitachi, Ltd. 2023. All rights reserved.
株式会社 日立製作所
OSSソリューションセンタ
2023/12/01
田畑 義之
Cloud Native Community Japan キックオフミートアップ
Keycloakの全体像
基本概念、ユースケース、そして最新の開発動向

2. 1
© Hitachi, Ltd. 2023. All rights reserved.
自己紹介
田畑 義之 (たばた よしゆき)
 シニアOSSコンサルタント
@株式会社 日立製作所 OSSソリューションセンタ
 CNCFアンバサダー
 GitHub: @y-tabata, LinkedIn: @ytabata
• 認証認可やAPI関連分野のソリューション開発&コンサルティング
 金融、公共、社会、産業分野における
API管理基盤や認証認可システムの導入支援
• 認証認可・API管理関連のOSSへのコントリビュート
 Keycloak (IAMのOSS)
 3scale (API管理のOSS)
• 情報発信
 Keycloak書籍
 ThinkIT/@ITでのWeb記事連載
 Kubecon/Apidays/OAuth Security Workshopなど、国内外のイベントでの登壇

3. © Hitachi, Ltd. 2023. All rights reserved.
１. Keycloakとは
２. Keycloakで実現できる様々なユースケース
３. Keycloakの最新開発動向
Contents
2

4. © Hitachi, Ltd. 2023. All rights reserved.
１. Keycloakとは
２. Keycloakで実現できる様々なユースケース
３. Keycloakの最新開発動向
Contents
3

5. 4
© Hitachi, Ltd. 2023. All rights reserved.
主な特徴
 OAuth 2.0、OpenID ConnectやSAMLなどの
標準仕様に準拠した認証・認可
 LDAPサーバやActive Directoryと連携したID
管理
 GitHub、Twitter、Facebookなどのユーザアカ
ウントを利用したソーシャルログイン
Keycloakとは
• Keycloakは、IAM (Identity and Access Management: IDアクセス管理)のOSS。
• シングルサインオンや、OAuth 2.0の認可サーバの機能を提供。
主要標準に準拠した認証・認可
Keycloak
LDAP
Active
Directory
RDB
OpenID Connect SAML
GitHub
Twitter Facebook
ID管理
ソーシャルログイン

6. 5
© Hitachi, Ltd. 2023. All rights reserved.
Keycloakのデータ
• GitHubスター数は18k ※2023/11
• 2022年のOpen Source Projects with Highest Contributor Growthで7位にランクイン
https://octoverse.github.com/2022/state-of-open-source
• CNCFプロジェクトの成長速度(velocity)のランキングで7位にランクイン ※2023/10
https://www.cncf.io/blog/2023/10/27/october-2023-where-we-are-with-velocity-of-cncf-lf-and-top-30-open-source-projects/
• 2023年4月にCNCFのIncubating Projectに選出
https://www.cncf.io/blog/2023/04/11/keycloak-joins-cncf-as-an-incubating-project/

7. 6
© Hitachi, Ltd. 2023. All rights reserved.
Keycloakと日本
• 2021年10月に日立製作所の乗松さんがメンテナに就任。主にOAuth SIGのリーダとして、
OAuth/OIDC関連のセキュリティ仕様への準拠を推進。
https://www.keycloak.org/2021/10/takashi.adoc.html
• Keycloakのコミット数ランキングにおいて日本人は上位100人中6人(おそらく)。 ※2023/11
• Companyとしては、コントリビュータ数、コミット数、ともに日立製作所がRed Hatに次いで2位。 ※2023/11
https://keycloak.devstats.cncf.io/d/5/companies-table?orgId=1&var-period_name=Last%20decade&var-metric=contributors

8. © Hitachi, Ltd. 2023. All rights reserved.
１. Keycloakとは
２. Keycloakで実現できる様々なユースケース
３. Keycloakの最新開発動向
Contents
7

9. 8
© Hitachi, Ltd. 2023. All rights reserved.
Keycloakで実現できるユースケース
1. アプリケーションにログインするユースケース
2. APIでユーザのリソースにアクセスするユースケース
3. (リソースアクセスを認可するユースケース) ← 今回は割愛

10. 9
© Hitachi, Ltd. 2023. All rights reserved.
アプリケーションにログインするユースケース
• アプリケーションのセキュリティの要となるユーザ認証処理をKeycloakにお任せするユースケース。
• セキュリティベストプラクティスは年々進化しており、スクラッチで作るとセキュリティホールを作りこむ可能性あり。
ユーザ
(ブラウザ)
アプリケーション
Keycloak
1. アクセス
6. 価値提供
2. ユーザ認証の委譲
3. ユーザ認証要求
4. ログイン
5. ユーザ認証結果
※簡単のため、一部やり取りは省略しています。

11. 10
© Hitachi, Ltd. 2023. All rights reserved.
アプリケーションにログインするユースケース
• アプリケーションのセキュリティの要となるユーザ認証処理をKeycloakにお任せするユースケース。
• アプリケーションタイプとして、Webアプリ、ネイティブアプリ、ブラウザベースアプリのすべてに対応。
ユーザ
(ブラウザ)
アプリケーション
Keycloak
1. アクセス
6. 価値提供
2. ユーザ認証の委譲
3. ユーザ認証要求
4. ログイン
5. ユーザ認証結果
アプリケーションタイプ
 Webアプリ
 ネイティブアプリ(モバイルアプリ、PCアプリ)
 ブラウザベースアプリ(SPAなど) ※簡単のため、一部やり取りは省略しています。

12. 11
© Hitachi, Ltd. 2023. All rights reserved.
アプリケーションにログインするユースケース
• アプリケーションのセキュリティの要となるユーザ認証処理をKeycloakにお任せするユースケース。
• 認証プロトコルとして、一般的なプロトコルであるOpenID Connect 1.0、SAML v2に対応。
ユーザ
(ブラウザ)
アプリケーション
Keycloak
1. アクセス
6. 価値提供
2. ユーザ認証の委譲
3. ユーザ認証要求
4. ログイン
5. ユーザ認証結果
アプリケーションタイプ
 Webアプリ
 ネイティブアプリ(モバイルアプリ、PCアプリ)
 ブラウザベースアプリ(SPAなど)
認証プロトコル
 OpenID Connect 1.0
 SAML v2
※簡単のため、一部やり取りは省略しています。

13. 12
© Hitachi, Ltd. 2023. All rights reserved.
アプリケーションにログインするユースケース
• アプリケーションのセキュリティの要となるユーザ認証処理をKeycloakにお任せするユースケース。
• ユーザ認証方法として、パスワード認証から多要素認証まで幅広く対応。
ユーザ
(ブラウザ)
アプリケーション
Keycloak
1. アクセス
6. 価値提供
2. ユーザ認証の委譲
3. ユーザ認証要求
4. ログイン
5. ユーザ認証結果
ユーザ認証方法
 パスワード認証
 OTP認証(Google Authenticator、FreeOTP)
 クッキー認証(≒シングルサインオン)
 外部IdP認証(ソーシャルログイン)
 WebAuthn(生体認証の組合せ、パスワードレス認証)
アプリケーションタイプ
 Webアプリ
 ネイティブアプリ(モバイルアプリ、PCアプリ)
 ブラウザベースアプリ(SPAなど)
認証プロトコル
 OpenID Connect 1.0
 SAML v2
※簡単のため、一部やり取りは省略しています。

14. 13
© Hitachi, Ltd. 2023. All rights reserved.
APIでユーザのリソースにアクセスするユースケース
• ユーザのリソースにアクセスするために必要なアクセストークンをKeycloakに発行してもらうユースケース。
• API認可のデファクトスタンダードであるOAuth 2.0にセキュアに準拠する必要あり。
ユーザ
(ブラウザ)
アプリケーション
Keycloak
1. アクセス
8. 価値提供
2. 認可要求
3. ユーザ認可取得
4. 同意
5. アクセス
トークン発行
リソースサーバ
6. APIリクエスト(アクセストークンを付与)
7. APIレスポンス
※簡単のため、一部やり取りは省略しています。

15. 14
© Hitachi, Ltd. 2023. All rights reserved.
APIでユーザのリソースにアクセスするユースケース
• ユーザのリソースにアクセスするために必要なアクセストークンをKeycloakに発行してもらうユースケース。
• ブラウザを持たないスマートTVなどのデバイスがユーザのリソースにアクセスすることもできる。
(RFC8628: OAuth 2.0 Device Authorization Grant で規定)
ユーザ
(ブラウザ)
Keycloak
1. アクセス
8. 価値提供
2. 認可要求
3. ユーザ認可取得
4. 同意
5. アクセス
トークン発行
リソースサーバ
6. APIリクエスト(アクセストークンを付与)
7. APIレスポンス
※簡単のため、一部やり取りは省略しています。
アプリケーション
(スマートTVなど)
 ユーザは自身のスマホのブラ
ウザなどを使って同意する。

16. 15
© Hitachi, Ltd. 2023. All rights reserved.
APIでユーザのリソースにアクセスするユースケース
• ユーザのリソースにアクセスするために必要なアクセストークンをKeycloakに発行してもらうユースケース。
• アプリケーションのユーザ以外のユーザのリソースにアクセスすることもできる。
(OpenID Connect Client-Initiated Backchannel Authentication Flow - Core 1.0 で規定)
ユーザ
(ブラウザ)
Keycloak
1. アクセス
8. 価値提供
2. 認可要求
3. ユーザ認可取得
4. 同意
5. アクセス
トークン発行
リソースサーバ
6. APIリクエスト(アクセストークンを付与)
7. APIレスポンス
※簡単のため、一部やり取りは省略しています。
リソースオーナ
アプリケーション
 医者による患者の診断情報の取得。
 スーパーのレジにおけるキャッシュレス決済。

17. © Hitachi, Ltd. 2023. All rights reserved.
１. Keycloakとは
２. Keycloakで実現できる様々なユースケース
３. Keycloakの最新開発動向
Contents
16

18. 17
© Hitachi, Ltd. 2023. All rights reserved.
Keycloakの最新開発動向
• FAPI 2.0
• DPoP (OAuth 2.0 Demonstrating Proof of Possession: RFC9449)
• Passkeys
• Lightweight Access Token

19. 18
© Hitachi, Ltd. 2023. All rights reserved.
Keycloakの最新開発動向 - FAPI 2.0
• FAPI 2.0 (Financial-grade API 2.0)は、OAuth 2.0をベースに、高いセキュリティ保護が必要なAPI
を保護することを目的としたセキュリティプロファイル。Implementer's Draftが公開されている。
• Keycloakはバージョン23で、このFAPI 2.0のドラフト版をサポート予定。
ユーザ
(ブラウザ)
アプリケーション
Keycloak
1. アクセス
8. 価値提供
2. 認可要求
3. ユーザ認可取得
4. 同意
5. アクセス
トークン発行
リソースサーバ
6. APIリクエスト(アクセストークンを付与)
7. APIレスポンス
※簡単のため、一部やり取りは省略しています。
 OAuth MTLSやDPoPによるアクセストークン横取り攻
撃対策。
 PARによる認可リクエスト改ざん攻撃対策。
 PKCEによる認可コードインジェクション攻撃対策。

20. 19
© Hitachi, Ltd. 2023. All rights reserved.
Keycloakの最新開発動向 - DPoP
• DPoP (OAuth 2.0 Demonstrating Proof of Possession: RFC9449)は、非対称鍵ペアを使った
所有証明(proof-of-possession)メカニズムによってアクセストークンに送信者制約を施し、アクセストーク
ン横取り攻撃を検知することを目的としたメカニズム。2023年9月に公開。
• Keycloakはバージョン23で、DPoPをプレビューサポート予定。
ユーザ
(ブラウザ)
アプリケーション
Keycloak
1. アクセス
8. 価値提供
2. 認可要求
3. ユーザ認可取得
4. 同意
5. アクセス
トークン発行
リソースサーバ
6. APIリクエスト(アクセストークンとDPoP proofを付与)
7. APIレスポンス
※簡単のため、一部やり取りは省略しています。
I. 公開鍵の情報を含み、秘密鍵で署名したDPoP
proofを生成。
II. アプリケーションから受け取ったDPoP proof内公開
鍵を紐づけたアクセストークンを発行。
III. DPoP proof内公開鍵と、アクセストークンに紐づけ
られた公開鍵とを比較検証。

21. 20
© Hitachi, Ltd. 2023. All rights reserved.
Keycloakの最新開発動向 - Passkeys
• Passkeysは、非対象鍵ペアを使った高いセキュリティを誇るFIDO認証をベースに、秘密鍵を同期すること
でスケーラビリティの課題を解決した新しい認証技術。
• Keycloakはバージョン23で、Passkeysをプレビューサポート予定。
ユーザ
(ブラウザ)
アプリケーション
Keycloak
1. アクセス
6. 価値提供
2. ユーザ認証の委譲
3. ユーザ認証要求
4. ログイン
5. ユーザ認証結果
ユーザ認証方法
 Passkeys
※簡単のため、一部やり取りは省略しています。
 アプリケーションやデバイスごとに新しいFIDOクレデン
シャルを登録する必要がない。
 デバイスを紛失・交換した際に、新しいFIDOクレデン
シャルを登録する必要がない。

22. 21
© Hitachi, Ltd. 2023. All rights reserved.
Keycloakの最新開発動向 - Lightweight Access Token
• Lightweight Access Tokenは、プライバシーやパフォーマンスの観点から、アクセストークンに格納する情
報を減らす(アクセストークンを軽量化する)ソリューション。リソースサーバは必要な情報をイントロスペクション
エンドポイント経由で取得する。
• Keycloakはバージョン23で、Lightweight Access Tokenをサポート予定。
ユーザ
(ブラウザ)
アプリケーション
Keycloak
1. アクセス
8. 価値提供
2. 認可要求
3. ユーザ認可取得
4. 同意
5. 軽量アクセス
トークン発行
リソースサーバ
6. APIリクエスト(軽量アクセストークンを付与)
7. APIレスポンス
※簡単のため、一部やり取りは省略しています。
 軽量アクセストークンに格納する情報は必要最小限。
6-1. 追加情報要求
6-2. 追加情報
 必要な情報があればイントロスペク
ションエンドポイント経由で取得。

23. 22
© Hitachi, Ltd. 2023. All rights reserved.
まとめ
• Keycloakは今波に乗っているOSSであり、日本からも多くの機能がコントリビュートされている。
• 2023年4月にCNCFのIncubating Projectに選出
• CNCFプロジェクトの成長速度(velocity)のランキングで7位にランクイン
• Keycloakは様々なユースケースを実現できる。
• アプリケーションにログインするユースケース
• 多要素認証、シングルサインオン、など。
• APIでユーザのリソースにアクセスするユースケース
• ユーザリソースへのセキュアなAPIアクセス、第三者リソースへのAPIアクセス、など。
• Keycloakはコミュニティが活発で、最新仕様や注目機能を次々とサポートしている。
• FAPI 2.0、DPoP、Passkeys、Lightweight Access Token、など。

24. 23
© Hitachi, Ltd. 2023. All rights reserved.
Trademarks
• OpenID is a trademark or registered trademark of OpenID Foundation in the United States and other
countries.
• GitHub is a trademark or registered trademark of GitHub, Inc. in the United States and other countries.
• Red Hat is a registered trademark of Red Hat, Inc. in the United States and other countries.
• NGINX and NGINX Plus are registered trademarks of F5, inc. in the United States and other countries.
• Twitter is a trademark or registered trademark of X Corp. in the United States and other countries.
• Facebook is a trademark or registered trademark of Meta Platforms, Inc. in the United States and other
countries.
• Other brand names and product names used in this material are trademarks, registered trademarks, or
trade names of their respective holders.

25. © Hitachi, Ltd. 2023. All rights reserved. 24
END
Keycloakの全体像
2023/12/01
株式会社 日立製作所
OSSソリューションセンタ
田畑 義之
基本概念、ユースケース、そして最新の開発動向