Roundcubeへパスキー認証（生体認証）のシングルサインオンでアクセスする

オープンソースのWebメールシステムのRoundcube（WebMail）をKeycloakを利用してPasskey認証で運用する構成です。ID/Passwd認証のような第三者によるなりすましを防ぎ、スマートフォン標準の指紋認証（Touch ID）や顔認証（Face ID）の操作を行うことで、ターゲットのRoundcubeへPasskeyを利用した生体認証によるSSOでアクセスを行います。

さらに認証機能を持たないデスクトップPCやノートPCなども、クロスデバイス認証によりスマートフォンと認証連携することで、デスクトップPCやノートPCからもPasskey認証でRoundcubeへSSOを行うことが可能です。

パスキー認証とは

Passkey認証は、パスワードに代わる新しい認証方法です。スマートフォンなどの生体認証情報（指紋、顔認証、虹彩認証など）を利用して、ウェブサイトにログインする方法です。

従来のパスワード認証と比べて、Passkey認証には以下のような利点があります。

安全性が高い: パスワードは推測や漏洩のリスクがありますが、Passkey認証は生体認証情報に基づいているため、より安全です。
利便性が高い: パスワードを覚える必要がなく、スマートフォンの生体認証機能で簡単にログインできます。
汎用性が高い: スマートフォン以外のPCなどの様々なデバイスと連携して利用ができます。

クロスデバイス認証とは

クロスデバイス認証とは、スマートフォンのパスキー認証を利用して、認証機能を持たないPCなどのデバイスからターゲットのWebへアクセスさせる機能です。


Passkey認証　✅	クロスデバイス認証　☑	クロスデバイス認証　☑

Bluetooth利用時のクロスデバイス認証のフロー

PC端末でパスキー認証のターゲットのRoundcubeへブラウザでアクセス
PC端末側のブラウザにQRコードを表示
QRコードをスマートフォンでスキャン
スキャンしたQRコードをスマートフォンでパスキー認証
Bluetooth通信によりスマートフォンとPC間で認証連携
PCのブラウザでターゲットのRoundcubeへシングルサインオン

同期パスキーとデバイスバウンドパスキー

FIDO2の拡張規格である「Passkey 」認証では、秘密鍵の保存に関して

デバイス間で同期できる同期パスキー（ Synced passkeys )
デバイスに依存して保存・利用するデバイスバウンドパスキー（ Device bound passkeys )

の2種類をサポートしています。

相違点

項目	1．同期パスキー	2．デバイスバウンドパスキー
保存方法	クラウドサービスを利用	特定のデバイス内に保存
利用方法	複数のデバイスで利用可能	1つのデバイスのみ利用可能
メリット	紛失・故障時の復旧が容易	より高い安全性
デメリット	セキュリティリスクがやや高い	複数のデバイスで利用できない

パスキー対応ネットワーク構成

機器構成

Webサーバー（Roundcubeを運用）
Keycloakサーバー（idP）
クライアントの機器（スマートフォンやPC端末）
ブラウザ（プラグイン不要）

同期パスキーを利用の場合

iCloudキーチェーン
Googleパスワードマネージャー

などのクラウドサービスと連携

Keycloakの運用

Keycloakを簡単に構築運用できる　➡「Powered BLUE for idP」を利用します

Keycloakアプライアンスの主な機能

　サーバーの設定（Network / Firewall )
　ウィザードによるKeycloakの構成（スタンドアロンやクラスター）
　DB設定
　Keycloak のバックアップ、リストア、アップグレード
　SSLサーバー証明書登録（トラストストア対応）
　keycloak へのアクセスポート（ 80 / 443 )
　リバースプロキシ構成（ 80 / 443 )
　アクティブモニタ（サービス監視・再起動・管理者への通知）
　ベースOS AlmaLinux 9.x / RockyLinux 9.x / RedHat 9.x に対応

Passkey認証に対応のWeb / Rioundcubeの運用

Passkey認証連携の Web / Roundcube / WordPress を簡単に構築運用できる　➡「Powered BLUE Web for Passkey」を利用します

主な機能

　Web / Mai l / DNS / ftp （インターネットサーバー機能）
　送信ドメイン認証　（DKIM / DMARC / SPF）
　ベースOS AlmaLinux 9.x / RockyLinux 9.x / RedHat 9.x に対応

Passkey認証連携の Web / Roundcube / WordPress を構築＆運用できます


PCでの表示		スマートフォンでの表示

Roundcube 同期パスキーの機器構成例

A.　同期パスキー登録による、同期パスキーを登録した同じ機器での認証＆Roundcubeへのアクセス
➡　iPadでパスキー登録　⇒ 同一のiPadで認証
➡　Android Galaxy A23でパスキー登録　⇒ 同一のAndroid Galaxy A23で認証

パスキー認証　＝　① Passkey認証端末　＋　② ユーザー

B.　同期パスキー登録による、異なる機器でのクロスデバイス認証＆Roundcubeへのアクセス
➡　iPadでパスキー登録　 ⇒ Note-PC / Desktop-PC で認証連携
➡　Android Galaxy A23 でパスキー登録　 ⇒ Note-PC / Desktop-PC で認証連携

クロスデバイス認証　＝　① PC端末　＋　②Passkey認証端末　＋　③ ユーザー

Roundcube検証時のバージョンです（2024年6月）

機器	OS	端末やサーバー	備考	動作
iPad （第6世代）	iOS 17.3.1	・同期パスキーを登録した機器・Touch ID	Safari 604.1	✅
Galaxy A23	Android 13	・同期パスキーを登録した機器・指紋認証	Chrome 125.0.6422.165	✅
Windows ノートPC	Windows 11 version 22H2	・クロデバイス認証の端末・Bluetooh 4.0（内蔵）	Firefox 126.0.1 Edge 125.0.2535.79 Chrome 125.0.6422.142	✅ ✅ ✅
Windows PC	Windows 11 version 22H2	・クロスデバイス認証の端末・TP-link (Bluetooh 5.0 / USB）	Firefox 126.0.1 Edge 125.0.2535.79 Chrome 125.0.6422.142	✅ ✅ ✅
Synced Passkeys		・iCloudキーチェーン・Googleパスワードマネージャー
Keycloak アプライアンス	Keycloak 24.0.5 RockyLinux 9.4	・Keycloakを運用	Powered BLUE for idP
Web アプライアンス	AlmaLinux 9.4	・Passkey認証連携のRoundcubeを運用	Powered BLUE 890

* iOS 17.x 以降でクロスデバイス認証に対応
* Android 13 以降でクロスデバイス認証に対応
* Bluetooth 4.0以降でクロスデバイス認証に対応

Roundcube デバイスバウンドパスキーの機器構成　例

C. 　デバイスバウンドパスキーによる認証＆Roundcubeへのアクセス
➡　USB指紋認証器でパスキー登録　⇒ USB指紋認証器で認証

パスキー認証　＝　① PC端末　＋　②USB認証器　＋　③ ユーザー

Roundcube検証時のバージョンです（2024年6月）

機器	OS	端末やサーバー	備考	動作
Windows ノートPC	Windows 11 version 22H2	・デバイスバウンドパスキーの端末・EzFinger2（USB接続の指紋認証器）	Firefox 126.0.1 Edge 125.0.2535.79 Chrome 125.0.6422.142	✅ ✅ ✅
Windows PC	Windows 11 version 22H2	・デバイスバウンドパスキーの端末・EzFinger2（USB接続の指紋認証器）	Firefox 126.0.1 Edge 125.0.2535.79 Chrome 125.0.6422.142	✅ ✅ ✅
Keycloak アプライアンス	Keycloak 24.0.5 RockyLinux 9.4	・Keycloakを運用	Powered BLUE for idP
Web アプライアンス	AlmaLinux 9.4	・Passkey認証連携のRoundcubeを運用	Powered BLUE 890

* 指紋認証器としては、USB接続の「FIDO2対応の製品」が利用できます（Yubiko / 他）

Keycloakの設定手順

レルムの作成
Webとの連携設定
ロールの作成
ユーザーの作成
ロールのアサイン
認証フローの作成（Webauthn Passwordless もしくはWebauthn ポリシーの設定）
Bind flow
認証ポリシーの設定

1．レルムの作成

今回は、「passkey-demo」というレルムを作成します

（レルムの作成 / 画面のクリックで拡大）

2. Webとの連携設定

Webサーバ側のxmlファイルをKeycloakの「Passkey-demo」のレルムに読み込ませます。またKeycloak側のxmlファイルをWeb側に登録して、KeycloakとWebの連携を構成します。

3．ロールの作成

今回は、「passkey-demo-role」を作成します

（ロールの作成 / 画面のクリックで拡大）

4．ユーザーの作成

今回は、ユーザーアカウント「passkey-demo-user」を作成します

（ユーザーの作成 / 画面のクリックで拡大）

5．ロールのアサイン

作成したユーザーアカウント「passkey-demo-user」へロール「passkey-demo-role」をアサインします

（ロールのアサイン / 画面のクリックで拡大）

6．認証フローの作成

Passkey認証に際しては、以下のいずれかを利用して

Webauthn Passwordless　Authenticator
Webauthn　Authenticator

ポリシーを設定して　例「passkey-demo-flow」という名称で保存します

今回は、Webauthn　Authenticator　を利用して設定します

（認証フローの作成 / 画面のクリックで拡大）

7．Bind flow

作成した「passkey-demo-flow」ポリシーを、「Browser flow」へバインドします。今回作成の「passkey-demo-flow」がブラウザでのログインに適用されます。

8．認証ポリシーの設定

Webauthn Passwordless　Authenticator
Webauthn Authenticator

の認証のポリシー（詳細）を設定します

今回は、Webauthn Authenticator　を設定します

（認証ポリシーの設定 / 画面のクリックで拡大）

ポリシー項目としては、今回は以下のような設定

項目	設定値	内容
リーディング・パーティエンテイティ	URL	KeycloakのURL　例 https://keycloak-passkey.xxx.com/
署名アルゴリズム	E256	認証に使用する署名アルゴリズム
期待する構成証明伝達	Not Specified
オーセンティケーター・アタッチメント	Not Specified
常駐鍵が必要	Not Specified
ユーザー検証要件	Requried
タイムアウト	設定なし
オーセンティケーターの重複登録回避	オフ
許容可能なAAGUID	指定なし
エクストラオリジンズ	指定なし