リリースノート

サービス・アカウントをOAuthクライアントとして自動的にKeycloakに公開する機能を含め、OpenShift 3.11をKeycloakで完全に保護することが可能になりました。

これは現在はテクノロジー・プレビュー機能です。

これまで、Droolsポリシーはデフォルトで有効になっていました。しかし、現在はこのポリシータイプはテクノロジー・プレビュー機能としてのみ利用可能です。使用するには、プレビュー・プロファイルまたは対応する機能を有効にする必要があります。詳しくは、 Authorization Services Guide を見てください。

DB2サポートはしばらくの間非推奨でした。このリリースでは、DB2のサポートをすべて削除しました。

Remember Meセッション用に異なるセッションアイドル時間と最大タイムアウトを指定する機能が導入されました。これにより、Remeber Meセッションを通常のセッションよりも長く生存させることができます。

これまで、多数のグループが管理コンソールで問題を引き起こしていました。これは現在、グループのページネーションの導入によって解決されています。

これまでは、オフライン・セッションが多いと、サーバーの起動に時間がかかる場合がありました。この起動時間は大幅に短縮されました。

Keycloakサーバーは内部でWildFly 14を使用するようにアップグレードされました。

Keycloak Gatekeeperは、アダプターなしでアプリケーションとサービスを保護するために使用できるセキュリティー・プロキシーを提供します。アプリケーションと並行してローカルにインストールすることも、OpenShiftまたはKubernetesのサイドカーとしてインストールすることもできます。

この機能をKeycloakに提供してくれた gambol99 に大きな感謝をします。

Signature SPIは、追加の署名アルゴリズムをプラグインすることを可能にします。 これにより、追加の署名が有効になり、署名の生成方法を変更することもできます。たとえば、これを使用すると、HSMデバイスを使用してトークンに署名できます。

この作業の重要な部分をコントリビューションしてくれた tnorimat に感謝します。

Signature SPIと並んで、追加の署名アルゴリズムのサポートもあります。

Keycloakは現在、RS256、RS384、RS512、ES256、ES384、ES512、HS256、HS384、およびHS512をサポートしています。

楕円曲線デジタル署名アルゴリズム（ES256/384/512）は、RSA署名と同様のセキュリティ特性を提供しますが、使用するCPUが大幅に少なくなるため非常に興味深いものです。

アプリケーションに署名を検証させたくない場合は、HMAC（HS256/384/512）も非常に便利です。これらは対称型の署名であるため、Keycloakのみが署名を検証できますが、アプリケーションはトークンの検証にトークン・イントロスペクション・エンドポイントを使用する必要があります。

この作業の重要な部分をコントリビューションしてくれた tnorimat に感謝します。

OpenID Connectクライアント用に発行されたトークンでAudienceを指定できるようになりました。アダプター側でのAudience検証のサポートもあります。

Keycloakサーバーは、内部でWildFly 13を使用するようにアップグレードされました。これは、基礎となる依存関係の更新と、構成のいくつかの変更を意味します。また、WildFly 13アダプターもサポートしており、Cross-DCセットアップ用に基礎となるJDG/Infinispanサーバーのバージョンをアップグレードしました。詳しくは Upgrading Guide を参照してください。

Node.jsで認可サービスをサポートすることで、Node.jsアダプターを使用してきめ細かい中央での認可を行うことが非常に簡単になります。

Hostname SPIは、Keycloakのホスト名を設定するためのより柔軟な方法を導入します。2つの組み込みプロバイダがあります。1つ目はrequestで、リクエストヘッダーを使ってホスト名を決定します。2番目はfixedで、固定ホスト名を設定できます。後者は、有効なホスト名のみが使用可能であることを確認し、また内部アプリケーションが代替URLを通じてKeycloakを呼び出すことを可能にします。

詳細については、 Server Administration Guide の脅威軽減のセクションを参照してください。

新しく追加されたClient Authenticatorは、X509クライアント証明書とMutual TLSを使用してクライアントからの接続を保護します。それに加えて、Keycloakサーバーはクライアント証明書のSubject DNフィールドを検証します。

今回のリリースでは、全面的にポリシー評価のパフォーマンスが向上し、信頼性とスループットが向上しました。私たちが行った主な変更は、不要なフローを回避してポリシー評価パスを最適化し、発生したらすぐに決定情報を収集することでした。また、要求ごとにポリシー決定キャッシュを導入し、以前に評価されたポリシーによる重複した決定を避けるようにしました。

私たちは、より良いエクスペリエンスを与える他のキャッシュ・レイヤーにも取り組んでいます。 KEYCLOAK-7952 を参照してください。

以前のバージョンでは、アクセストークンとリフレッシュトークンを含む標準のOAuth2レスポンスを使用して、アクセス許可は常にサーバーから返されていました。このリリースでは、クライアントは response_mode パラメータを使用してサーバーが認可リクエストにどのように応答するべきかを指定することができます。このパラメーターは次の2つの値を受け入れます。

NodeJS用のアダプターである keycloak-nodejs-connectは、サーバーからの決定に基づいてリソースを保護するための構築をサポートするようになりました。新しい構文により、ユーザーは次のようにきめ細かいパーミッションを使用して自分のリソースを保護できます。

Googleでのログインは、GoogleログインをGoogleの特定のホストドメインに制限するための hd パラメータをサポートします。これがアイデンティティー・プロバイダーで指定されている場合は、異なるドメインからのログインは拒否されます。

brushmateのコントリビューションに感謝します。

ほとんどのHTML出力はHTMLタグに対してすでにエスケープされていますが、HTMLタグが許可されている場所がいくつかあります。これらは、値を更新するためには管理者アクセスが必要な箇所に限られています。そのようなフィールドを更新するには管理者アクセスが必要になりますが、追加の防御層が追加され、現在では <script> のような危険な要素をエスケープしています。

Cordova用のJavaScriptアダプターでブラウザータブとユニバーサル・リンクを使用できるようになりました。これにより、複数のアプリケーション間のSSOが可能になり、セキュリティが向上します。

gtudan のコントリビューションに感謝します。

SAMLアダプターは、OpenID Connect用の組み込みアダプターのように、マルチテナンシーをサポートします。

以前のバージョンでは、ドット（.）文字を含むクレーム名を使用してトークン内にクレームを作成することはできませんでした。現在は、設定内のドット文字をエスケープすることが可能になり、ドット文字を含むクレーム名を使用できます。

リリース4.1以降、Spring BootスターターはSpring Boot 2アダプターをベースにしています。以前のバージョンのSpring Bootを使用している場合は、keycloak-legacy-spring-boot-starterが利用可能です。

クライアント・テンプレートに代わるクライアント・スコープのサポートが追加されました。クライアント・スコープは、より柔軟なアプローチであり、OAuthの scope パラメーターに対してより良いサポートを提供します。

同意画面には、クライアント・スコープに関する変更があります。同意画面のリストは、プロトコル・マッパーとロールの代わりにクライアント・スコープにリンクされるようになりました。

詳細については、マニュアルおよび移行ガイドを参照してください。

OAuth 2.0 Mutual TLS Client Authentication and Certificate Bound Access Tokensの仕様の部分実装が行われました。より正確には、Certificate Bound Access Tokenをサポートしました。コンフィデンシャル・クライアントが双方向SSLを使用できる場合、Keycloakはクライアント用に発行されたトークンにクライアント証明書のハッシュを追加できます。現在のところ、Keycloak自体だけで、トークンハッシュを検証します（例えば、 refresh token リクエストの間）。アダプターにもサポートを追加する予定です。Mutual TLSクライアント認証のサポートも追加する予定です。

tnorimatのコントリビューションに感謝します。

通常のプロバイダー配備で、テーマをKeycloakにホットデプロイできるようになりました。テーマリソースのサポートも追加しました。テーマを作成せずにテンプレートとリソースを追加することができます。これは、認証フローに追加されるページを必要とするカスタム・オーセンティケーターにとって便利です。

特定のクライアントのテーマを無効にするサポートも追加しました。それがニーズに合っていない場合は、カスタムロジックを実装してテーマを選択できる新しいテーマセレクターSPIもあります。

Instagramでログインするためのサポートが追加されました。 hguerrero からのコントリビュートに感謝します。

管理コンソールでIDを使用してユーザーを検索するには、以前はURLを編集する必要がありましたが、ユーザー検索フィールドで直接検索することが可能になりました。