KubeCon NA 2023 Recap: Challenge to Implementing “Scalable” Authorization with Keycloak

© Hitachi, Ltd. 2023. All rights reserved.
Challenge to Implementing “Scalable”
Authorization with Keycloak
日立製作所中村雄一
yuichi.nakamura.fe@hitachi.com
KubeCon NA 2023 Recap

1
自己紹介
• 2000年代： SELinuxに関するOSS活動
- 組込み向けSELinuxの開発、パフォーマンスチューニングなどをOSSコミュニティ貢献
- SELinux設定ツールのOSS公開 (SELinux Policy Editor)
- イベント登壇 (Ottawa Linux Symposium, CE Linux Forum, USENIX LISA 等)
- 学術論文執筆、SELinux書籍執筆
• 最近の活動
• The Linux Foundationのボード対応、CNCF、OpenSSFの対応
• 「OSSセキュリティ技術の会」での技術者・学術関係者の交流
• Keycloak関連ビジネスやコントリビューション活動の立上げ
• API管理・認証関連サービス立上げ
• Keycloakメンテナを育成
• Keycloak書籍執筆：認証と認可Keycloak入門（リックテレコム）
中村雄一＠日立製作所個人のtwitter: @yhimainu
• CNCF Japan Chapter “Cloud Native Community Japan”のオーガナイザ

2
ご紹介するセッションについて
• 同僚の田畑さん(CNCF Ambassador)が担当したKeycloakに関連するセッション。
• CNCF Incubating Project 「Keycloak」のクラウドネイティブにおける主な役割：
OIDC(OpenID Connect)のOP(OpenID Provider)。
kubernetesのドキュメントではOPのことを「Identity Provider(IdP)」と呼んでいる。
・ユースケース例１： Kubernetes APIの認可の場合
IdPはユーザーを認証し、IDトークンを発行。KubectlコマンドにIDトークンを設定。
Kubectlコマンドが、IDトークンと共にKubernetes APIを呼び出し。
Kubernetes APIはIDトークンを見てアクセス制御（認可）。
https://kubernetes.io/docs/reference/access-authn-authz/authentication/#openid-connect-tokens
・ユースケース例２： k8s上のマイクロサービスやAPIの認可の場合 → 本講演の対象
IdPはユーザーを認証し、アクセストークンをクライアントに発行。
クライアントは、アクセストークンをセットし、マイクロサービスやAPIを呼び出し。
マイクロサービスやAPIは、アクセストークンを見て(*)アクセス制御（認可）。
(*)アクセストークンに属性情報が入ってない場合は、IdPなどに属性情報を問い合わせる

3
当日の様子
Keynoteのエリアを分割した部屋で発表。
かなり広い部屋（1000人以上入りそうだった）
KeynoteでFall 2023のアンバサダーが発表。
田畑さんが新たに就任。
応募の際は、これまでの認証・API関連の海外カンファレンスの
登壇実績、執筆実績、Keycloakコントリビューション実績と
認証認可分野でのやる気をアピール。
田畑さん
アンバサダー
ジャケットをゲット
*アンバサダーの皆様の写真はこちらで公開されています
https://www.cncf.io/people/ambassadors/

4
セッションrecap
以下、田畑さんのスライドからの抜粋と補足です

5
認証(Authentication)と認可（Authorization）の違いについて
（認証された）エンティティが、リソースにアクセス、その際に認可が行われる。

6
OWASPでも認可のセキュリティリスクが話題になっている

7
シンプルな認可の実装
アプリのロジックに認可の埋め込み
サービスが増えてくると似たようなロジックを色んな場所に埋め込む必要
→スケールしない

8
ロールでの管理
ロール階層を定義して、ユーザをロールに所属させることで、
ロジックはシンプルになる

9
サービスが拡大すると…
ロール爆発が起こる

10
アプリでの認可＋ロール管理の限界
複雑なロールのデータを各サービスで管理し、スケールしなくなる

11
スケールする認可のアーキテクチャ
認可に必要なロジックと情報をアプリのロジックから切り離す

12
Authorization Serviceの導入
認可のためのロジックと情報を司る「Authorization Service」を導入。
一から作るのは大変だが、KeycloakのAuthorization Serviceを使うことができる

13
KeycloakのAuthorization Service
Keycloakは、IdPとしてふるまうだけではなく、
「Authorization Service」の機能も保有
PDP: Policy Decision Point
ポリシーを元にアクセス可否を判断
PEP: Policy Enforcement Point
認可を差し込む場所
Keycloak(IdP)によって認証済

14
スケーラブルな認可が可能に
認可のためのデータ（ポリシ）はKeylcloakで集中管理
アプリからは認可のためのAPIを一回呼ぶだけでアクセスOK/NGが返ってくる
（以前は複数回のAPI呼び出しが必要だったが田畑さんがPR出して改善）

15
中央集権型の認可の課題
アプリへのアクセスのたびに毎度Keycloakへのアクセスが必要→パフォーマンスの懸念
Keycloakが落ちるとアプリが止まる→可用性の懸念
同じクラスタ上にKeycloakをデプロイし、複数podでクラスタ組むことでも対処できるが、他の解決策もある

16
OPAとの組み合わせでの解決案
案１： OPAを認可判断のキャッシュにする
案２： OPAで認可判断を行い、Keycloakでは認可のためのポリシーを管理する

17
Keycloakだけで頑張る案
KeycloakのDBとしてCockroachDBを使い、クラスタを組む

18
おわりに
・ Keycloakは活発なOSSプロジェクトであり、使いにくい場合はPR出して修正にトライできるのが醍醐味です！
今回も認可のために複数のAPI呼び出しが必要な問題を直すパッチを提出・マージされてます。
不具合・課題があったら、コントリビューションのチャンス！
コントリビューションすると、技術面でも気付きが得られ、成長のチャンス！
・最後に宣伝
クラウドネイティブ分野の日本におけるアップストリーム活動盛り上げのために、CNCF Japan Chapterとして、
「Cloud Native Community Japan」をコミュニティの方々と立上げました。
12/1にキックオフミートアップを開催済み、
今後も他のコミュニティとも協力しながら継続的にミートアップ開催予定です。
最新の情報は、以下のホームページから。「join」よりメンバになって頂けるとミートアップ開催通知が届きます。
https://community.cncf.io/cloud-native-community-japan/

19
他社商品名、商標等の引用に関する表示
• OpenID is a trademark or registered trademark of OpenID Foundation in the United States and other
countries.
• Other brand names and product names used in this material are trademarks, registered trademarks, or
trade names of their respective holders.

KubeCon NA 2023 Recap: Challenge to Implementing “Scalable” Authorization with Keycloak

KubeCon NA 2023 Recap: Challenge to Implementing “Scalable” Authorization with Keycloak

More Related Content

Similar to KubeCon NA 2023 Recap: Challenge to Implementing “Scalable” Authorization with Keycloak (20)

More from Hitachi, Ltd. OSS Solution Center. (20)

KubeCon NA 2023 Recap: Challenge to Implementing “Scalable” Authorization with Keycloak