Keycloakで外部アイデンティティー・プロバイダーと連携してみよう：Keycloak超入門（5）（2/3 ページ）

アイデンティティー・ブローカー機能の設定

●設定の概要

　GoogleをIdPとする場合、プロトコルはOpenID Connectが使用され、Keycloak（アイデンティティー・ブローカー）はOpenID Connectの「RP（Relying Party）」、GoogleはOpenID Connectの「OP（OpenID Provider）」という役割をそれぞれ担うことになります。

　そのためには、KeycloakをGoogleのアイデンティティー・ブローカーとして動作するように設定し、RP（Keycloak）の情報は事前にOP（Google）に登録しておく必要があります（図4）。

図4　アイデンティティー・ブローカーの設定の概要

　事前に登録するRPの情報とは、具体的に次の2つです。

●前提条件

　この手順を実施するには「http://localhost:8080」でアクセスできるようにKeycloakをセットアップし、管理者ユーザーで「demo」というレルム（※2）を作成してあることが前提条件となります。

●設定手順

　まずは、Googleの設定を行います。その際、必要なKeycloakの設定値をコピーするので、いったん管理者アカウントでKeycloakにログインしてください。

　Keycloakにログインしたら、画面左上のレルムの表示が「Demo」になっていることを確認してください（※3）。「Demo」になっていなければ、レルムの一覧から「Demo」を選択します。次に、画面左のメニューバーの「アイデンティティ プロバイダー」をクリックします。「プロバイダーの追加」のドロップダウンリストから、「Social」の中にある「Google」をクリックしてください（画面3）。

画面3　「アイデンティティ プロバイダー」画面

　これにより、「アイデンティティ プロバイダーの登録」ページが表示されます（画面4）。

画面4　「アイデンティティ プロバイダー」の登録画面

　GoogleにKeycloakを「クライアント」（※4）として登録する必要があるため、このページの「リダイレクトURI」をクリップボードにコピーしておきます。また、Googleから「クライアントID」と「クライアントシークレット」をコピーしてペーストする必要があるので、保存ボタンをクリックせずにこの画面を開いておいてください。「クライアントID」と「クライアントシークレット」は、OP（Google）とRP（Keycloak）で共有する一意な値であればよいので、Google側で生成して、それを共有します。

　次に、「Google Developer Console」でプロジェクトとクライアントを作成します（※5）。

　コンソールにログインすると、画面の上部に「プロジェクトの作成」と書かれたリンクがあるので、これをクリックします（画面5）。

画面5　リソースの管理画面（Google Developer Console）

　「プロジェクト名」に適当な名前を入力し、「作成」ボタンをクリックします（画面6）。作成には多少時間がかかる場合があります。

画面6　新しいプロジェクトの作成画面

　作成が完了したら、プロジェクトのダッシュボードに移動します。画面左部分の「APIとサービス」をクリックしてください（画面7）。

画面7　プロジェクトのダッシュボード

　以下のような画面が表示されるので、画面の上部にある「APIとサービスの有効化」をクリックします（画面8）。

画面8　APIとサービス画面

　画面の中央付近にある「Google＋ API」を有効化してください（画面9）。

画面9　APIライブラリ画面

　「Google＋ API」を有効化すると、APIを使用するには認証情報が必要な旨が表示されるので、「認証情報を作成」をクリックします（画面10）。

画面10　Google＋ API画面

　最初に、必要な認証情報とアクセスするデータの種類を指定するよう求められます（画面11）。

画面11　認証情報画面

　以下の表1の値を指定して、「必要な認証情報」ボタンをクリックします。

　次に、OAuth 2.0のクライアントIDを作成するステップに進みます（画面12）。

画面12　認証情報画面

　以下の表2値を指定して、「クライアントIDの作成」をクリックします。

　OAuth 2.0の同意画面上に表示に関する設定を行います（画面13）。

画面13　認証情報画面

　「ユーザーに表示するサービス名」に、適当な名前（「Keycloak」など）を指定してください（画面14）。最後に「完了」をクリックします。

画面14　認証情報画面

　クライアントの作成が完了したら、一覧の中に先ほど作成したクライアントのリンクがあるので、それをクリックします（画面15）。

画面15　画認証情報画面

　この画面にある「クライアントID」と「クライアントシークレット」をKeycloakの設定に使うので、このままこのページを開いておいてください（画面16）。

画面16　WebアプリのクライアントID画面

　最後に、Keycloakの設定を行います。先ほどGoogle Developer ConsoleでコピーしたクライアントIDとクライアントシークレットの値を、今度はKeycloakの設定画面の「クライアントID」「クライアントシークレット」に入力してください（画面17、表3）。

画面17　「アイデンティティ プロバイダー」の登録画面

　最後に「保存」ボタンをクリックします。以上で設定は完了です。