第4章 ユーザーの管理

1. クライアントが JSON 形式で返される、jwks.endpoint、token.endpoint、logout.endpoint、realm.name、client_id などの、クライアントが OpenId プロバイダーの必要なすべての URL およびプロパティーを見つけることができる OpenID 設定サービスを要求します。

2. サービス URL は \https://codeready-<openshift_deployment_name>.<domain_name>/api/keycloak/settings で、CodeReady Workspaces のマルチユーザーモードでのみ利用できます。URL にサービスが存在すると、現在のデプロイメントで認証が有効になっていることを確認できます。

   出力例:

   {
       "che.keycloak.token.endpoint": "http://172.19.20.9:5050/auth/realms/che/protocol/openid-connect/token",
       "che.keycloak.profile.endpoint": "http://172.19.20.9:5050/auth/realms/che/account",
       "che.keycloak.client_id": "che-public",
       "che.keycloak.auth_server_url": "http://172.19.20.9:5050/auth",
       "che.keycloak.password.endpoint": "http://172.19.20.9:5050/auth/realms/che/account/password",
       "che.keycloak.logout.endpoint": "http://172.19.20.9:5050/auth/realms/che/protocol/openid-connect/logout",
       "che.keycloak.realm": "che"
   }

   このサービスを使用すると、JavaScript クライアントライブラリーをダウンロードし、\https://codeready-<openshift_deployment_name>.<domain_name>/api/keycloak/OIDCKeycloak.js URL を使用してプロバイダーと対話できます。

3. client_id を含む、必要なパラメーターすべてと共に、ユーザーを適切なプロバイダーのログインページにリダイレクトし、リダイレクトパスを返します。これは、クライアントライブラリー（JS または Java）を使用して実行できます。
4. ユーザーがプロバイダーにログインすると、クライアント側のコードが取得され、JWT トークンがトークンを検証し、subject の作成が開始します。

1. Authentication: トークンは Authorization ヘッダーまたは token クエリーパラメーターから抽出され、プロバイダーから取得される公開鍵を使用して解析されます。トークンの有効期限が切れるか、無効になるか、またはトークンの形式が正常ではない場合、403 エラーがユーザーに送信されます。サポートが制限されており、今後のバージョンで完全に削除されるため、クエリーパラメーターの使用は最小限にすることが推奨されます。

   検証に成功すると、解析されたトークンの形式が環境の初期化ステップに渡されます。

2. 環境の初期化: フィルターは JWT トークン要求からデータを抽出し、(ない場合は) ローカルデータベースにユーザーを作成します。また、subject オブジェクトを構築して、これを、どこからでも静的にアクセスできる要求別の EnvironmentContext に設定します。

   要求が JWT トークンのみを使用して作成される場合、以下の単一の認証フィルターが使用されます。

   org.eclipse.che.multiuser.machine.authentication.server.MachineLoginFilter: フィルターは userId トークンが属するユーザーを検出し、ユーザーインスタンスを取得し、プリンシパルをセッションに設定します。CodeReady Workspaces サーバー間の要求は、EnvironmentContext オブジェクトから取得された現在のサブジェクトトークンすべての要求に署名する専用の要求 Factory を使用して実行されます。

手順

1. multiuser.properties ファイルに保存されている認証設定パラメーターを更新します (例: クライアント ID、認証 URL、レルム名)。
2. 単一のフィルターまたはフィルターチェーンを作成してトークンを検証し、CodeReady Workspaces ダッシュボードでユーザーを作成し、subject オブジェクトを作成します。
3. 新規の認証プロバイダーが OpenID プロトコルをサポートする場合、設定エンドポイントで利用可能な OIDC JS クライアントライブラリーを使用してください。これは特定の実装から分離されるためです。
4. 選択されたプロバイダーがユーザー (名前および姓、肩書き) についての追加データを保存する場合、この情報を提供するプロバイダーに固有の ProfileDao 実装を作成することが推奨されます。