Keycloak Jpg

Install Keycloak 4.8.3 on CentOS 7

CentOSSAMLcentos7OIDCKeycloak

この記事について

本記事は、CentOS 7.x への Keycloak 4.8.3 のインストールについて記載しています。

対象読者

• SSO (シングルサインオン) に興味がある方
• OIDC (OpenID Connect) に興味がある方
• SAML (Security Assertion Markup Language) に興味がある方

Keycloak とは

Keycloak(キークローク)とは、最新のアプリケーションとサービスを目的としたオープンソースのIDおよびアクセス管理ソリューションです。
※詳細は、公式サイト をご確認ください。

SSO や API アクセスの認証・認可制御を実現することができます。

対応する SSO 機能

• OpenID Connect
• OAuth 2.0
• SAML 2.0
• LDAP 連携
• Active Directory 連携

※Google や Twitter などのアカウントを使用したログインにも対応しています。

ライセンス

Keycloak は Apache License 2.0 で提供されています。※GitHub

インストール

基本的に、公式ガイドに記載されている手順通りに進めます。

環境

• OS：CentOS 7.5

システム要件

Keycloak を構築するのに必要なシステム要件は、以下の通りです。

• Java 8 JDK
• RAM 512GB 以上
• 1GB 以上のディスクスペース

OpenJDK 8 のインストール

Keycloak の動作には、Java 8 JDK が必要 になります。
インストールされていない場合は、Java 8 JDK をインストールします。
※本書では、OpenJDK 8 を使用します。

Java インストール有無の確認

環境に Java がインストールされているかどうか確認します。
既に Java 8 JDK がインストールされている場合は、以下のようなメッセージが表示されます。

# java -version
openjdk version "1.8.0_191"
OpenJDK Runtime Environment (build 1.8.0_191-b12)
OpenJDK 64-Bit Server VM (build 25.191-b12, mixed mode)

Java 8 がインストールされていない場合は、下記コマンドを使用して、OpenJDK 8 をインストールしてください。

# yum install -y java-1.8.0-openjdk

Keycloak のダウンロード

公式サイト より、最新の Keycloak の圧縮ファイルをダウンロードします。

Keycloak 圧縮ファイルの解凍

ダウンロードした Keycloak の圧縮ファイルを解凍します。
※ ファイルは、/opt 以下に配置します。

# cd /opt
# unzip keycloak-4.8.3.Final.zip
# mv keycloak-4.8.3.Final keycloak

ファイアウォールの設定

外部から Keycloak にアクセスできるよう、ファイアウォールの設定を行います。

# firewall-cmd --zone=public --add-service=http --permanent
# firewall-cmd --zone=public --add-service=https --permanent
# firewall-cmd --zone=public --add-port=8080/tcp --permanent
# firewall-cmd --reload

管理者ユーザーの作成

Keycloak の管理者ユーザーを作成します。

# /opt/keycloak/bin/add-user-keycloak.sh -r master -u admin -p admin

-u オプションでユーザー名、-p オプションでパスワードを設定しています。
こちらは任意で変更してください。

Keycloak の起動

Keycloak Server を起動します。

# /opt/keycloak/bin/standalone.sh -b=0.0.0.0

起動オプションに -b=0.0.0.0 を付与しているのは、すべてのホストからのアクセスを許可しているためです。
Keycloak は WildFly という RedHat が中心になって開発している Java EE コンテナが同梱されています。FildFly は、デフォルト設定ではリモートホストからのアクセスを許可していません。
Keycloak は、この WildFly の上で動作しているため、-b オプションでアクセスを許可するホストを指定する必要があります。

コマンド実行後、以下のようなメッセージが表示されれば、起動に成功しています。

05:22:25,628 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0060: Http management interface listening on http://127.0.0.1:9990/management
05:22:25,628 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0051: Admin console listening on http://127.0.0.1:9990
05:22:25,628 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0025: Keycloak 4.8.3.Final (WildFly Core 6.0.2.Final) started in 14037ms - Started 577 of 834 services (557 services are lazy, passive or on-demand)

管理コンソールへのログイン

起動に成功したら、管理コンソールへアクセスします。
http://<host-name-or-IP>:8080/auth

• <host-name-or-IP>：OSのホスト名、またはIPアドレス

正常にアクセスできた場合、以下のような画面が表示されます。
Administration Console を選択して、ログイン画面に移動します。

add-user-keycloak.sh 実行時に入力したユーザー名、パスワードを入力して、Keycloak にログインします。

日本語化対応

Keycloak は、国際化対応で日本語にも対応しています。
Realm Settings -> Themes に移動します。

Internationalization Enabled を ON にし、Default Locale を ja に変更します。
変更後、いったんシステムからログアウトしてください。
※キャッシュの都合上、変更が即時反映されない場合があります。

再度、ログイン画面に戻ると、画面表示が日本語に切り替わっているのを確認できます。

サービス登録

サーバー起動時に、Keycloak が自動起動するための設定を行います。
/etc/systemd/system/keycloak.service の12行目にある-b オプションについては、前述同様です。

/etc/systemd/system/keycloak.service

[Unit]
Description=Jboss Application Server
After=network.target

[Service]
Type=idle
Environment=JBOSS_HOME=/opt/keycloak JBOSS_LOG_DIR=/var/log/keycloak "JAVA_OPTS=
-Xms1024m -Xmx20480m -XX:MaxPermSize=768m"
User=keycloak
Group=keycloak
ExecStart=/opt/keycloak/bin/standalone.sh -b=0.0.0.0
TimeoutStartSec=600
TimeoutStopSec=600

[Install]
WantedBy=multi-user.target

# mkdir /var/log/keycloak
# useradd --system --user-group keycloak
# chown -R keycloak:keycloak /opt/keycloak
# chown -R keycloak:keycloak /var/log/keycloak
# chmod -R g+w /opt/keycloak
# chmod -R g+w /var/log/keycloak

# systemctl daemon-reload
# systemctl enable keycloak
# systemctl start keycloak

参考情報

• Keycloak 公式ガイド
• Keycloak by OpenStandia Advent Calendar 2017
• Keycloakとは
• Keycloakのセットアップ
• オープンソースのシングルサインオン／Keycloakとは
• CentOS7へKeycloakをsystemdで起動、停止できるようにインストールする

Keycloak Rhel7

OpenID Connect via KeyCloak on RHEL7

https://osc.github.io/ood-documentation/master/authentication/tutorial-oidc-keycloak-rhel7.html

This tutorial shows installing Keycloak as an OpenID Connect Identity Provider and configuring OnDemand as an OpenID Client to authenticate with this provider.

Using https://webdev07.hpc.osc.edu as the example host with OnDemand installed, at the end of the tutorial:

1. Keycloak is running and accessible at https://webdev07.hpc.osc.edu:8443
2. In both cases Apache is handling requests. Apache proxies requests for https://webdev07.hpc.osc.edu:8443 to the Keycloak server running on the default port of 8080.
3. Attempting to access OnDemand at https://webdev07.hpc.osc.edu redirects the user to https://webdev07.hpc.osc.edu:8443 to first authenticate.

At OSC in production we do two things differently from this tutorial:

1. we keep Keycloak on a separate host from OnDemand
2. we configure Keycloak to use MySQL for Keycloak’s database instead of the default H2 file database

These steps have been omitted from the tutorial. For most cases for OnDemand, the default H2 database is probably sufficient. Also by installing Keycloak on the same host as OnDemand, we don’t need to provision separate SSL certificates and host, which simplifies the tutorial.

If your site is interested in either of these things and needs assistence, please let us know by starting the discussion on the mailing list.

Warning

In production we recommend installing Keycloak on a separate host from OnDemand.

Note

This tutorial has only been verified to work with Keycloak 4.8.3.

Tutorial

• 1. Install Keycloak
  • 1.1. Initial Installation Steps
  • 1.2. Start Keycloak Server
  • 1.3. Place Apache in front of Keycloak
  • 1.4. Differences if installing Keycloak on separate host
• 2. Configure Keycloak
  • 2.1. Add a new realm
  • 2.2. Configure LDAP
  • 2.3. Add OnDemand as a client
• 3. Configure OnDemand to authenticate with Keycloak
  • 3.1. Install mod_auth_openidc
  • 3.2. Re-generate main config using ood-portal-generator
  • 3.3. Add Keycloak config to OnDemand Apache for mod_auth_openidc
• 4. Add Custom Theme

Next  Previous

Keycloak Centos7

Install Keycloak on CentOS 7 with MySQL backend

Written by Pim on Tuesday October 23, 2018 - 1 Comment - Permalink
Categories: devops, technology, howto - Tags: centos7, authentication, keycloak,mysql, nginx, jboss, identity-provider, active-directory, security

http://www.pimwiddershoven.nl/entry/install-keycloak-on-centos-7-with-mysql-backend

Keycloak is an open source Identity and Access Management solution we're going to install on a CentOS 7 machine. The Keycloak application including the MySQL server requires at least 2 CPU cores and 2 GB of memory. It's recommended to have 4 GB memory when you're going to have a lot of traffic to this identity server.

Install Keycloak

Keycloak is based on Wildfly and requires Java 8. We're using the YUM package manager to install all required dependencies.

$ yum install java-1.8.0-openjdk

We're going to run the Keycloak application with user 'keycloak'. Add the user and group to your machine.

$ groupadd -r keycloak
$ useradd -m -d /var/lib/keycloak -s /sbin/nologin -r -g keycloak keycloak

Keycloak doesn't provide a RPM so we're going to install it manually. In this blog post I'm using the following paths:

• Base path: /opt/keycloak
• Application path: /opt/keycloak/current

The application path is a symlink to a specific version. This simplifies the upgrade process in the future.

Go to the download page of Keycloak and get the URL of the latest final version. Download the final Keycloak version from the website and extract it into /opt/keycloak/$version. Use a symlink to link Keycloak to /opt/keycloak/current.

$ curl https://downloads.jboss.org/keycloak/4.5.0.Final/keycloak-4.5.0.Final.tar.gz -o keycloak.tar.gz
$ mkdir -p /opt/keycloak/4.5.0
$ ln -s /opt/keycloak/4.5.0 /opt/keycloak/current
$ tar -xzf keycloak.tar.gz -C /opt/keycloak/current --strip-components=1
$ chown keycloak: -R /opt/keycloak

Limit access to standalone file because it contains sensitive data.

$ cd /opt/keycloak/current
$ sudo -u keycloak chmod 700 standalone

We're going to run Keycloak on MySQL instead of the default H2 database. First, install the MySQL Yum repository.

$ yum install -y https://dev.mysql.com/get/mysql80-community-release-el7-1.noarch.rpm

This will install the MySQL repository with the MySQL 8.0 repository enabled by default. Because Keycloak doesn't support MySQL 8.0 yet, disable the MySQL 8.0 repository and enable the MySQL 5.7 repository.

$ yum-config-manager --disable mysql80-community
$ yum-config-manager --enable mysql57-community

Install and start the MySQL server.

$ yum install mysql-server
$ systemctl start mysqld

The MySQL server generates a temporary password which can be found in the log file located in the /var/log directory. Change this temporary password to something else before proceeding.

$ mysqladmin -p password

Save the MySQL credentials in the home directory of the root user.

$ cat > /root/.my.cnf <<EOF
[client]
user=root
password="YOURPASS"
EOF

Create a database and user account for Keycloak (change YOURPASS to your something random).

$ mysql
 
mysql$ CREATE DATABASE keycloak;
mysql$ CREATE USER 'keycloak'@'localhost' IDENTIFIED BY 'YOURPASS';
mysql$ GRANT ALL PRIVILEGES ON keycloak.* TO 'keycloak'@'localhost';
mysql$ FLUSH PRIVILEGES;
mysql$ exit;

Configure Keycloak to use MySQL. Download the MySQL connector for Java.

$ curl -L http://central.maven.org/maven2/mysql/mysql-connector-java/5.1.46/mysql-connector-java-5.1.46.jar -o /root/mysql-connector-java-5.1.46.jar

Open the Jboss CLI and add the MySQL module (you don't have to connect with the Jboss websocket).

$ ./bin/jboss-cli.sh
 
jboss-cli$ module add --name=org.mysql  --dependencies=javax.api,javax.transaction.api --resources=/root/mysql-connector-java-5.1.46.jar
jboss-cli$ exit

Add the MySQL driver to the configuration.

$ sudo -u keycloak ./bin/jboss-cli.sh 'embed-server,/subsystem=datasources/jdbc-driver=mysql:add(driver-name=mysql,driver-module-name=org.mysql,driver-class-name=com.mysql.jdbc.Driver)'

Remove the h2 KeycloakDS data source and add the MySQL KeycloakDS data source. (Don't delete the test database and change YOURPASS to something random)

$ sudo -u keycloak ./bin/jboss-cli.sh 'embed-server,/subsystem=datasources/data-source=KeycloakDS:remove'
$ sudo -u keycloak ./bin/jboss-cli.sh 'embed-server,/subsystem=datasources/data-source=KeycloakDS:add(driver-name=org.mysql,enabled=true,use-java-context=true,connection-url="jdbc:mysql://localhost:3306/keycloak?useSSL=false&useLegacyDatetimeCode=false&serverTimezone=Europe/Amsterdam&characterEncoding=UTF-8",jndi-name="java:/jboss/datasources/KeycloakDS",user-name=keycloak,password="YOURPASS",valid-connection-checker-class-name=org.jboss.jca.adapters.jdbc.extensions.mysql.MySQLValidConnectionChecker,validate-on-match=true,exception-sorter-class-name=org.jboss.jca.adapters.jdbc.extensions.mysql.MySQLValidConnectionChecker)'

Add management user to keycloak (change YOURPASS to your something random).

$ sudo -u keycloak ./bin/add-user-keycloak.sh -u admin -p YOURPASS -r master
 
# output: Added 'admin' to '/opt/keycloak/4.5.0/standalone/configuration/keycloak-add-user.json', restart server to load user

We're going to run Keycloak behind a Nginx reverse proxy. To allow this, change http-listener and socket-binding configurations in Keycloak.

$ sudo -u keycloak ./bin/jboss-cli.sh 'embed-server,/subsystem=undertow/server=default-server/http-listener=default:write-attribute(name=proxy-address-forwarding,value=true)'
$ sudo -u keycloak ./bin/jboss-cli.sh 'embed-server,/socket-binding-group=standard-sockets/socket-binding=proxy-https:add(port=443)'
$ sudo -u keycloak ./bin/jboss-cli.sh 'embed-server,/subsystem=undertow/server=default-server/http-listener=default:write-attribute(name=redirect-socket,value=proxy-https)'

Create a systemd configuration to start and stop keycloak using systemd.

cat > /etc/systemd/system/keycloak.service <<EOF
 
[Unit]
Description=Keycloak
After=network.target
 
[Service]
Type=idle
User=keycloak
Group=keycloak
ExecStart=/opt/keycloak/current/bin/standalone.sh -b 0.0.0.0
TimeoutStartSec=600
TimeoutStopSec=600
 
[Install]
WantedBy=multi-user.target
EOF

Reload the systemd daemon and start Keycloak.

$ systemctl daemon-reload
$ systemctl enable keycloak
$ systemctl start keycloak

Now, we'll install the Nginx server to do SSL termination for our Keycloak application. Install Nginx using the YUM package manager.

$ yum install nginx

Copy the SSL certificates to the following paths on the server:

• Certificate: /etc/pki/tls/certs/
• Private key: /etc/pki/tls/private/

Configure Nginx to proxy traffic for Keycloak. (Change my.url.com to your own URL)

cat > /etc/nginx/conf.d/keycloak.conf <<EOF
upstream keycloak {
    # Use IP Hash for session persistence
    ip_hash;
  
    # List of Keycloak servers
    server 127.0.0.1:8080;
}
  
      
server {
    listen 80;
    server_name my.url.com;
 
    # Redirect all HTTP to HTTPS
    location / {   
      return 301 https://\$server_name\$request_uri;
    }
}
  
server {
    listen 443 ssl http2;
    server_name my.url.com;
 
    ssl_certificate /etc/pki/tls/certs/my-cert.cer;
    ssl_certificate_key /etc/pki/tls/private/my-key.key;
    ssl_session_cache shared:SSL:1m;
    ssl_prefer_server_ciphers on;
 
    location / {
      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Forwarded-Proto $scheme;
      proxy_pass http://keycloak;
    }
}
EOF

Enable and start Nginx.

$ systemctl enable nginx
$ systemctl start nginx

Open port 80 and 443 in your firewall and you're done!