Keycloakとは、シングルサインオン（SSO; Single Sign On）を実現するためにRed Hat社が開発したJavaベースのオープンソースソフトウェアです。Keycloakは、アプリケーションやサービスとの連携してSAML、OpenID Connectに対応した認証・認可をはじめ、Active directory連携や多要素認証などの機能を有しています。

【KeycloakでのSSO】

シングルサインオンとは、ユーザーが複数のアプリケーションにログインする際に、1度だけ認証を行うことで、すべてのアプリケーションにアクセスできます。SSOを利用することで、ユーザーはパスワードを記憶する必要がありません。

SAMLやOIDC認証に対応のWebアプリケーションの場合には、簡単にKeycloakとSSOの構成を組むことができます。

ただし、すべてのWebアプリケーションがSSOに対応しているわけではありません。従来から運用のWebアプリは、SSOに対応していないケースがほとんどです。

SAML / OIDC認証に未対応のWeb

既存の「SAML / OIDC認証に未対応のWebアプリ」を Keycloakと連携してシングルサインオンで運用する場合には、リバースプロキシを利用してSSOに対応させる方法をとることができます。

Keycloakは代理認証方式などの機能を有していませんが、SAML/ OIDC認証に対応の代理認証やHTTPヘッダー方式のリバースプロキシを利用することで、Keycloakと連携して既存のWebサービスへのSSOが構成できます。

【こんな場合に】

ID / パスワードの漏洩が心配
Webの改修不要でSSOを導入したい
社内のWebをSSOに対応させたい
自社のWebサービスをSSOによりSaaS化したい
サードパーティのWebアプリをSSOで運用したい
共有アカウントでログインさせたいWebアプリがある
Webサービスへ多要素認証を適用したい
ユーザーにはブラウザのみで利用させたい
Keycloakで代理認証を構成したい
OSSのKeycloakでidPの費用を抑えたい
VPNは負荷が高いので使用を控えたい

【リバースプロキシの特徴】

アクセス先のWebサーバーのOSは問わない
アクセス先のWebサーバーを隠蔽
ブラウザのみでアクセスできる（プラグイン不要）

【SSO対応のリバースプロキシ】

SAMLやOIDC認証に未対応のWebアプリに対しては、Keycloakと連携のリバースプロキシ　「Powered BLUE Reverse-Proxy with SSO 」を利用することで、ターゲットWebアプリへユーザー情報を渡してSSOで運用することが出来ます。

【 SAML / OIDC認証に対応のリバースプロキシ】

Keycloak連携のSAML / OIDC認証対応のID認識型リバースプロキシ

　「Powered BLUE Reverse-Proxy with SSO 」

では、2種類のssoの方式をサポートしています。

SSO の方式	内　容	備　考
代理認証方式	idPからのユーザー属性を元にユーザー ID / PasswdをリバースプロキシからターゲットWebへ代理入力を行う	Webの改修不要
HTTPヘッダ方式	idPからのユーザー属性をHTTPヘッダを介してターゲットWebへ渡す	Webの改修必要