実践 Keycloak ―OpenID Connect、OAuth 2.0を利用したモダンアプリケーションのセキュリティー保護

12章トークンとセッションの管理

　Keycloakは、中央集権型の認証・認可サービスとして機能するだけでなく、セッションとトークンの管理システムとしても機能します。

　認証処理の一部として、Keycloakは、サーバーサイドのセッションを作成し、それをトークンと関連づけます。このセッションにより、Keycloakは、セッションが生成された認証コンテキストの状態を維持したり、ユーザーやクライアントの活動を追跡したりすることができます。また、トークンの有効性をチェックしたり、ユーザーやクライアントをいつ再認証すべきかを決定したりすることもできます。

　本章では、Keycloakでトークンとそのベースとなるセッションをどのように管理するかを見ていき、その際に注意すべきさまざまな点を理解します。

　本章で取り上げる主なトピックは、以下の通りです。

• セッションの管理
• トークンの管理

12.1　技術要件

　本章では、Keycloakの管理コンソールを使用して、例に従って操作していきます。そのため、1章「Keycloakを始めよう」を参考に、Keycloakが起動していることを確認してください。

12.2　セッションの管理

　セッションの管理は、ユーザー体験、セキュリティー、性能など、いくつかの重要な面に直接影響を与えます。

　ユーザー体験の面では、Keycloakは、ユーザーやクライアントが認証されているかどうか、どのくらいの期間認証状態を維持すべきか、いつ再認証するかを決定するためにセッションを活用します。セッションにより、ユーザーが同じレルム内の異なるクライアントにログインする際に、シングルサインオン（Single Sign-On：SSO）体験や統一された認証体験を提供することができます。 ...