SSOの実装例

1. Keycloakのドキュメントに従って、PodmanコンテナにKeycloakをインストールします。

2. `-td`引数を使用してコンテナを実行し、処理が実行され続けることを確認します:

   podman run -td --name keycloak -p 8080:8080 -e KEYCLOAK_ADMIN=admin -e KEYCLOAK_ADMIN_PASSWORD=admin quay.io/keycloak/keycloak:26.1.1 start-dev

3. `admin`ユーザーとしてKeycloak管理コンソールにサインインします。

4. 認証レルムを作成します:

   • 左上隅で、レルムセレクタのドロップダウン(`master`と表示)をクリックし、`Manage realms`を選択します。

   • `Manage realms`ページで、右上隅にあるCreate realmボタンをクリックします。

   • Realm name`フィールドに名前(例: `MLM)を入力します。

   • 作成をクリックします。

5. SAML公開証明書を取得します:

   • 左側のナビゲーションメニューから、Realm settingsをクリックします。

   • `Keys`タブをクリックします。

   • アクティブなキーのテーブルで、アクティブなRSAキー(プロバイダ`rsa-generated`)を見つけます。

   • その行にあるCertificateボタンをクリックします。

   • 開いたモーダルから、Base64エンコードされた証明書全体をコピーします。この証明書は、サーバーの設定に備えて手元に保管しておいてください。

6. SUSE Multi-Linux Managerをクライアントとして追加します:

   • 左側のナビゲーションメニューから、Clientsをクリックします。

   • Create clientをクリックします。

   • `Client type`フィールドで、`SAML`を選択します。

   • Client ID`フィールドに、SUSE Multi-Linux Managerメタデータエンドポイントを入力します。 次に例を示します。`https://<FQDN_MLM>/rhn/manager/sso/metadata

   • 次へをクリックします。

   • Valid redirect URIs`フィールドに、SUSE Multi-Linux Manager Assertion Consumer Service (ACS) エンドポイントを入力します。 次に例を示します。`https://<FQDN_MLM>/rhn/manager/sso/acs

   • 保存をクリックします。

7. クライアント設定の微調整:

   • `Settings`タブの下で、`SAML capabilities`セクションまでスクロールダウンします。

     • `Sign assertions`を`On`に切り替えます。

     • `Signature algorithm`フィールドで、`RSA_SHA1`を選択します。

     • `SAML Signature Key Name`フィールドで、`Key ID`を選択します。

     • ［保存］をクリックします。

   • `Keys`タブの下で:

     • `Client signature required`を`Off`に切り替えます。

   • `Advanced`タブの下で、`Fine Grain SAML Endpoint Configuration`セクションまでスクロールダウンします。

     • Assertion Consumer Service POST Binding URL`フィールドと`Assertion Consumer Service Redirect Binding URL`フィールドの両方に、SUSE Multi-Linux Manager ACSエンドポイントを入力します。 次に例を示します。`https://<FQDN_MLM>/rhn/manager/sso/acs

     • Logout Service POST Binding URL`フィールドに、SUSE Multi-Linux Manager SLSエンドポイントを入力します。 次に例を示します。`https://<FQDN_MLM>/rhn/manager/sso/sls

     • Logout Service Redirect Binding URL`フィールドに、SUSE Multi-Linux ManagerインスタンスのルートURLを入力します。 次に例を示します。`https://<FQDN_MLM>/

     • ［保存］をクリックします。

8. クライアントスコープとマッパーの設定:

   • 左側のナビゲーションメニューから、Client scopesをクリックします。

   • リスト内の`role_list`をクリックします。

   • `Mappers`タブをクリックし、`role list`マッパーをクリックします。

   • `Single Role Attribute`を`On`に切り替え、Saveをクリックします。

   • Clientsに戻り、SUSE Multi-Linux ManagerクライアントID（https://<FQDN_MLM>/rhn/manager/sso/metadata）をクリックして、`Client scopes`タブをクリックします。

   • 専用スコープ（例: https://<FQDN_MLM>/rhn/manager/sso/metadata-dedicated）をクリックします。

   • Configure a new mapperをクリックします。

   • リストから User Attribute を選択し、以下の詳細を使用してマッパーを設定します。

     • Name フィールドに uid を入力します。

     • `Property`フィールドで、`username`を選択します。

     • SAML Attribute Name フィールドに uid を入力します。

   • 保存をクリックします。

9. ユーザの作成:

   • 左側のナビゲーションメニューから、ユーザをクリックします。

   • ユーザの追加 をクリックします。

   • Username フィールドに、既存の SUSE Multi-Linux Manager ユーザ（管理ユーザなど）と一致するユーザ名を入力します。

   • 作成をクリックします。

   • Credentials タブをクリックし、パスワードの設定 をクリックしてユーザのパスワードを設定し、Temporary を Off に切り替えてから、保存 をクリックし、パスワードの保存 をクリックして確定します。

1. SUSE Multi-Linux Manager サーバ上で、/etc/rhn/rhn.conf 設定ファイルを開きます。

2. 次のパラメータを追加します。<FQDN_MLM> を SUSE Multi-Linux Manager インストールの完全修飾ドメイン名に、<FQDN_IDP> を Keycloak サーバの FQDN に、<REALM> をレルム名（例: MLM）に、<CERTIFICATE> を前の手順で Keycloak から取得した SAML 公開証明書の Base64 エンコード文字列に置き換えます。

   java.sso = true
   
   java.sso.onelogin.saml2.debug = true
   
   java.sso.onelogin.saml2.sp.entityid                       = https://<FQDN_MLM>/rhn/manager/sso/metadata
   java.sso.onelogin.saml2.sp.assertion_consumer_service.url = https://<FQDN_MLM>/rhn/manager/sso/acs
   java.sso.onelogin.saml2.sp.single_logout_service.url      = https://<FQDN_MLM>/rhn/manager/sso/sls
   
   java.sso.onelogin.saml2.idp.entityid                   = http://<FQDN_IDP>:8080/realms/<REALM>
   java.sso.onelogin.saml2.idp.single_sign_on_service.url = http://<FQDN_IDP>:8080/realms/<REALM>/protocol/saml
   java.sso.onelogin.saml2.idp.single_logout_service.url  = http://<FQDN_IDP>:8080/realms/<REALM>/protocol/saml
   
   java.sso.onelogin.saml2.idp.x509cert = -----BEGIN CERTIFICATE----- <CERTIFICATE> -----END CERTIFICATE-----
   
   # Organization Metadata (Optional)
   java.sso.onelogin.saml2.organization.name = SUSE Multi-Linux Manager
   java.sso.onelogin.saml2.organization.displayname = SUSE Multi-Linux Manager
   java.sso.onelogin.saml2.organization.url = https://<FQDN_MLM>
   java.sso.onelogin.saml2.organization.lang =
   
   # Contacts (Optional)
   java.sso.onelogin.saml2.contacts.technical.given_name = SUSE Multi-Linux Manager Admin
   java.sso.onelogin.saml2.contacts.technical.email_address = admin@example.com
   java.sso.onelogin.saml2.contacts.support.given_name = SUSE Multi-Linux Manager Admin
   java.sso.onelogin.saml2.contacts.support.email_address = admin@example.com

3. 変更を保存し、spacewalkサービスを再起動して変更を適用します。

   mgradm restart

4. SUSE Multi-Linux Manager Web UI に移動します。Keycloak ログイン画面にリダイレクトされ、認証後に SUSE Multi-Linux Manager に正常にログインできるはずです。