Keycloakで認可サービスを試してみよう［前編］：Keycloak超入門（8）（3/3 ページ）

Keycloak側の設定確認

　構築が完了したら、設定を確認してみましょう。以下の設定に関しては、認可サービスの挙動に重要な部分のみを説明しています。

●集中管理方式に関連するクライアント設定

　Keycloak管理コンソール（https://sso.example.com/auth/admin/）にアクセスし、Keycloak管理者（admin）でログインします。そして、「Demo-authz」レルムの「クライアント」から「authz-app」を選択し、以下の表6〜9の設定意図を確認します。リソースとポリシーを関連付けたパーミッションを定義することが集中管理方式の基本となります。

クライアントアダプター側の設定確認

●認可サービスアプリのkeycloak.json設定

　集中管理方式のクライアントアダプターの設定はシンプルです。基本的に、KeycloakのURLやクライアント名、クレデンシャルを設定するだけです。ただし、認可サービスを利用するためには、「policy-enforcer」という定義を追加しておく必要があります（表10）。

　/usr/local/tomcat/webapps/authz-app/WEB-INF/keycloak.json

{
  "realm": "demo-authz",
  "auth-server-url": "https://sso.example.com/auth",
　"ssl-required" : "external", 
　"disable-trust-manager": true,
  "resource": "authz-app",
  "credentials": {
    "secret": "secret"
  },
  "policy-enforcer": {}
}

集中管理方式の動作確認

　（1）認可サービスアプリ（https://authz.example.com/authz-app/）にアクセスします。

　（2）登録済みの任意のユーザーでログインします。

　（3）認可サービスアプリのトップ画面が開きます（画面1）。

画面1　認可サービスアプリのトップ画面

　（4）“アクセス制限チェック”以下のさまざまなパスへのアクセスを行い、ログインしたユーザーでアクセスが可能かどうかを確認します。アクセス結果をまとめると、表11のようになり、設計したアクセス制御通りに動作していることが確認できます。

まとめ

　Keycloakの認可サービスのうち、集中管理方式についての設定方法や動作について、理解できましたでしょうか。集中管理方式については、Keycloakとクライアントアダプターの設定だけで利用可能となるので、比較的導入しやすいのではないかと考えます。

　今回の検証ではシンプルなポリシーばかりでしたが、この検証環境を使えば、より複雑なアクセス制御のルールに変更することもできるので、実際に触ってみて、いろいろと試してみることをお勧めします。リバースプロキシ型では実現が難しいような、複雑なアクセス制御の要件がある場合は、この集中管理方式を検討してみるとよいでしょう。

　次回、最終回となる第9回では、今回は説明できなかったUMA方式の認可サービスについて解説します。