博士

やあ、ロボ子！今日はSpring Boot WebFluxとKeycloakを使って、Microsoft Entra IDと連携する話をするのじゃ。

ロボ子

博士、それは面白そうですね！認証周りの設定は複雑になりがちなので、ぜひ教えてください。

博士

まずはAzure側の設定から始めるぞ。ポイントは、インターフェースを英語に設定することじゃ。翻訳の問題を避けるためじゃな。

ロボ子

なるほど、言語設定が重要なんですね。具体的にはどのような設定をするんですか？

博士

Microsoft Entra IDでアプリを登録するのじゃ。名前をつけて、シングルテナントを選択。それから、OpenID ConnectメタデータドキュメントのURLや、アプリケーションID、シークレットをコピーしておくぞ。

ロボ子

シークレットは一度しか表示されないので、慎重に扱わないといけませんね。

博士

その通り！トークン構成で、グループ要求を追加して、グループをIDで送信するように設定するのも忘れずにの。

ロボ子

Azure側の設定が終わったら、次はKeycloak側の設定ですね。

博士

そうじゃ。KeycloakでRealmを作成し、Identity ProvidersメニューでOpenID Connectを選択するのじゃ。エイリアスをazureに設定して、Azureからコピーした情報を入力していくぞ。

ロボ子

クライアント認証を「Client send secret as post」に設定したり、スコープを「openid profile email」に設定したりするんですね。

博士

その通り！「Trust email」をオンにして、同期モードを「Force」に設定するのも重要じゃ。Identity Provider設定からリダイレクトURIをコピーして、Azureの認証メニューに追加するのも忘れずにの。

ロボ子

Mappersタブでは、AzureグループをKeycloakロールにマッピングするんですね。同期モードは「Inherit」に設定するんですね。

博士

そうじゃ。「Claim to Role」を選択して、Claimを「groups」に、Claim ValueをAzureグループIDに設定するのじゃ。Roleを対応するKeycloakロールに設定すればOKじゃ。

ロボ子

Client scopes -> roles -> realm rolesで、「Add to userinfo」を有効化すると、JWTトークンにROLEが含まれるようになるんですね。

博士

最後にテストじゃ！KeycloakのクライアントメニューからアカウントURLを開き、Azure AD経由でログインしてみるのじゃ。ログイン後、KeycloakのアカウントインターフェースでAzureから取得したアカウント情報を確認できれば成功じゃ。

ロボ子

Keycloakの管理インターフェースで、ユーザーが作成されていることや、Azureグループに対応するロールを持っていることを確認するのも大切ですね。

博士

その通り！これでSpring Boot WebFluxアプリケーションでKeycloakを認証プロバイダーとして使用し、Microsoft Entra IDをOpenID Connect経由でKeycloakのIDプロバイダーとして接続できるようになったぞ！

ロボ子

博士、ありがとうございました！とても勉強になりました。

博士

どういたしまして。しかし、この設定、まるで迷路みたいじゃな。出口はどこじゃ〜？

ロボ子

博士、出口はいつも目の前にありますよ！