今回、APIのセキュリティ確保に使用するKeycloakの概要についてご説明します。

本コースのテーマである、API認可、APIにアクセスするための権限付与をどう行い、API側で権限に基くアクセス制御をどう行うのか、その仕組みについて押さえます。ハンズオン時に自分が今認可プロセス全体のどの部分を設定、実装しているのか迷わず実施できるよう、 またハンズオンを実施しながら理論と、設定や実装の関係について理解が深められるようにしていきましょう。

Keycloakで所定の設定を行うために、最低限、覚えておくべき各用語の意味を確認しておきましょう。

実際に記事取得APIにアクセスするクライアントやユーザーを登録し、アクセス制御の設定を行うための、Keycloak編の最初の一歩として、インストールからサーバー起動、管理コンソール画面へのログインまで行います。

クライアントやユーザーの管理単位であるRealmを作成します。

前回作成したRealmにClientを作成します。

前回作成したClientを利用するUserを作成します。

Keycloakに対しベーシック会員、プレミアム会員、それぞれのユーザーでリクエストを送り、レスポンスとして、アクセス権としてのJSON Web Token (JWT)を取得するところまで行います。

Keycloakで発行したアクセストークンによるアクセス先の記事取得API開発や、セキュリティ追加実装の第一歩として、Spring Bootプロジェクトの雛型作成を行います。

Keycloakで発行したアクセストークンによるアクセス先の、記事取得APIの開発を行います。

Spring Securityの機能を使って、前回開発したAPIにセキュリティを追加します。

JWTの検証を、Spring SecurityのOAuth2リソースサーバー機能に実施させるための設定を行います。

前回の設定が有効かどうか確認するため、実際にKeycloakから取得したトークンを元に、APIにアクセスしていきます。

トークンベースでアクセスできるようになったAPIに対し、ロールに応じたより細かいアクセス制御を追加実装していきます。

前回実装したロールに応じたアクセス制御の前提処理として、JWTからロールを取得できるよう、JWTの形式を変換する処理を実装します。

実際にこれまで実装してきたアプリケーションを起動し、ロールに応じたアクセス制御を確認していきます。

ロールに応じたより細かいアクセス制御実装の第2弾として、有料記事の保護のため、メソッド内でユーザーのロールに応じたアクセス制御を行う、メソッド内認可の実装を行っていきます。

実際にこれまで実装してきたアプリケーションを起動し、ロールに応じたアクセス制御を確認していきます。