keycloakをownCloud Infinite ScaleのIDPとして設定する方法

このガイドでは、OAuth 2.0 を基盤とするアイデンティティレイヤーである OpenID Connect (OIDC) を使用して、ownCloud Infinite Scale (oCIS) を Keycloak に接続する方法を説明します。Keycloak はユーザーを認証し、oCIS は Keycloak が発行する署名付き ID およびアクセス情報を信頼します。ブラウザベースのサインインには HTTPS リダイレクトが使用され、oCIS は Keycloak の検出エンドポイントと署名キーエンドポイントにもアクセスする必要があります。

2026年10月6日現在、ownCloudの最新の管理ドキュメントでは、これらの設定はInfinite Scale 9.0の項目に記載されています。公式のKeycloakデプロイメント例は便利な出発点となりますが、Composeファイルとレルムのエクスポートは変更される可能性があります。互換性のあるイメージバージョンを固定し、バージョン管理されていない例を盲目的にコピーするのではなく、デプロイするファイルをレビューしてください。

OIDC を構成する前に必要なもの

oCIS のパブリック HTTPS アドレス (例: https://cloud.example.com) と Keycloak のパブリック HTTPS アドレス (例: )を準備してくださいhttps://sso.example.com。どちらのアドレスも、ユーザーのブラウザから正しく解決できる必要があります。また、oCIS サーバーは Keycloak の OIDC メタデータと公開署名キーにアクセスできる必要があります。リバースプロキシがどちらかのサービスのフロントエンドとして機能する場合は、そのパブリックホスト名と転送ヘッダーを統一的に設定してください。

• 正常に動作するownCloud Infinite Scaleのデプロイメントと、その環境またはCompose構成への管理者アクセス権。
• 正常に動作するKeycloakレルムと管理者アクセス権限が必要です。レルムとは、ユーザー、クライアント、ロール、およびID設定のためのKeycloak名前空間です。
• ブラウザとサーバーの両方から信頼されているTLS証明書で、KeycloakのTLS証明書を検証するものです。本番環境では証明書の検証を無効にしないでください。
• アカウントのマッチングに関する決定：既存のoCISユーザーを安定したIDクレームに接続するか、必要な書き込み権限を持つユーザーバックエンドを使用して初回ログイン時のアカウントプロビジョニングを有効にするか。

1. 正確なKeycloak発行者を見つける

Keycloak では、OIDC 発行者は通常、管理コンソール URL や検出ドキュメント URL ではなく、レルム URL です。 という名前のレルムの場合team、 のようになりますhttps://sso.example.com/realms/team。古いインストールやパスプレフィックス付きのデプロイメントでは異なる場合があるため、値を記憶から構築しないでください。 でレルムの検出ドキュメントを開きhttps://sso.example.com/realms/team/.well-known/openid-configuration、そのプロパティの値をissuer正確にコピーしてください。

Keycloakにアクセスできるサーバーから、以下のコマンドでドキュメントを検査できます。

curl -fsS https://sso.example.com/realms/team/.well-known/openid-configuration

返された発行者が、oCISで設定するスキーム、ホスト、パス、レルム名と同じであることを確認してください。OpenID Connectは発行者のIDを厳密に検証します。リバースプロキシのホスト名が一致しない、または余分なスラッシュがあると、ログインが失敗する可能性があります。

2. ownCloud Web用のOIDCクライアントを登録する

クライアントとは、Keycloak がどのサービスがサインインを要求できるかを決定するために使用するアプリケーション登録のことです。oCIS で使用されるレルムで OpenID Connect クライアントを作成または変更します。 などのクライアント ID web、またはカスタム値を使用し、それがWEB_OIDC_CLIENT_IDoCIS の値と一致していることを確認してください。公式の ownCloud の例では、webデフォルト値として を使用しています。

ブラウザベースのクライアントの場合は、標準の認証コードフローと、公式のサンプルレルムに準拠したパブリッククライアント構成を使用してください。デプロイメントに必要な正確な HTTPS リダイレクトとログアウト後のリダイレクトパターンを入力してください。https://cloud.example.com/*すべてのホストに適用される広範なワイルドカードよりも、 のような狭いホスト名パターンの方が監査が容易です。デプロイメントに必要な Web オリジンのみを追加してください。パブリック ブラウザ クライアント用のクライアント シークレットを作成して、それをフロントエンド構成に埋め込まないでください。

3. クレームと範囲を確認する

OIDCクレームは、トークンに含まれる、またはuser-infoエンドポイントから返されるID属性です。少なくとも、ユーザー名クレームは慎重に選択してください。ownCloudプロキシはデフォルトでpreferred_usernameユーザー解決に使用され、Keycloakの例ではWebクライアントを標準のプロファイルおよびメールスコープで構成します。ご自身のレルムが実際に使用するクレームを返すことを確認してください。クレームの可用性は、クライアントスコープとプロトコルマッパーによって異なります。

既存のアカウントの場合、設定されたクレームは対応する安定したownCloudユーザー属性にマッピングされている必要があります。ユーザー名またはメールアドレスが変更された場合、それを永続的な識別子として使用すると、アカウントのマッチングに問題が発生する可能性があります。クレームはsubIDプロバイダーごとに一意かつ安定していることが保証されていますが、既存のユーザー名と一致しない場合があります。すべてのユーザーにアクセスを許可する前に、管理者以外のアカウントを使用してアカウントのマッピングをテストしてください。

4. キークロークに無限スケールをポイントする

oCISデプロイメントの環境設定で、以下の値を設定してください。この例ではHTTPSとKeycloakレルム（）を想定しています/realms/team。ご自身のURLを使用してください。このYAML形式のブロックは例示であり、Docker Compose、Kubernetes、systemdなどのデプロイメント方法では環境変数の表現方法が異なります。

OCIS_URL: https://cloud.example.com
OCIS_OIDC_ISSUER: https://sso.example.com/realms/team
PROXY_OIDC_REWRITE_WELLKNOWN: "true"
WEB_OIDC_CLIENT_ID: web
PROXY_USER_OIDC_CLAIM: preferred_username
OCIS_EXCLUDE_RUN_SERVICES: idp

OCIS_OIDC_ISSUER外部IDプロバイダを選択します。PROXY_OIDC_REWRITE_WELLKNOWN=trueプロキシがOpenID Connect検出エンドポイントを構成済みの発行者に書き換えるようにします。ownCloudは、デスクトップおよびモバイルクライアントがプロバイダを検出するためにこれが必要であることを文書化しています。KeycloakWEB_OIDC_CLIENT_IDクライアントと一致する必要があります。除外すると、idp組み込みプロバイダがアクティブなログインプロバイダとして起動されないよう、ownCloudのKeycloakの例に従います。

oCIS が初回ログイン時にアカウントを作成するようにするには、PROXY_AUTOPROVISION_ACCOUNTS=true書き込み可能なユーザーバックエンドを使用して Graph サービスを設定および構成します。PROXY_USER_OIDC_CLAIMと をPROXY_AUTOPROVISION_CLAIM_USERNAME同じクレームに設定します。ユーザー名属性については、ownCloud のドキュメントを参照してくださいPROXY_USER_CS3_CLAIM=username。自動プロビジョニングはオプションであり、認証とは別にテストする必要があります。受信クレームが一意で、意図どおりにマッピングされている場合を除き、有効にしないでください。

5. コンテンツセキュリティポリシーでIDプロバイダーを許可する

Infinite Scale は、Web クライアントが接続できる外部オリジンを制御するためにコンテンツ セキュリティ ポリシー (CSP) を使用します。ownCloud のドキュメントによると、Keycloak などの外部 ID プロバイダーには適切な CSP 定義が必要です。ログイン ボタンが表示されるものの、ブラウザがリクエストをブロックする場合は、ブラウザのコンソールで CSP エラーを確認してください。ポリシーを設定しPROXY_CSP_CONFIG_FILE_LOCATION、デプロイメントに必要な Keycloak オリジンとディレクティブのみを許可します。ファイルを変更した後は、プロキシまたはデプロイメントを再起動してください。すべてのオリジンを許可することで接続の問題を解決しないでください。

6. 再起動して、フロー全体を確認します。

環境変更を適用し、普段管理に使用している方法でoCISデプロイメントを再起動してください。共通の再起動コマンドはありません。Composeプロジェクト、Kubernetesワークロード、systemdサービスでは制御方法が異なります。次に、チェーン内の各リンクを確認してください。

1. Keycloak ディスカバリ URL を開きissuer、 、authorization_endpoint、token_endpoint、 を含む JSON が返されることを確認しますjwks_uri。
2. ownCloudのWeb URLをプライベートブラウザウィンドウで開きます。ブラウザが目的のKeycloakレルムにリダイレクトされることを確認してください。
3. テストアカウントでサインインし、ブラウザがリダイレクトループを起こさずに同じownCloudホスト名に戻ることを確認してください。
4. Infinite Scaleに、新規作成された重複ユーザーではなく、意図したユーザーが表示され、想定されるリソースのみにアクセスできることを確認してください。
5. サインアウトをテストした後、別のアカウントで同じ手順を繰り返してください。デスクトップまたはモバイルクライアントが対象範囲に含まれる場合は、それぞれの検出とサインインを個別にテストしてください。

よくある失敗とその意味

生産チェックリスト

• Pinは、フローティングlatestタグに頼るのではなく、ownCloudとKeycloakのバージョンをテストしました。
• 公開サービスにはHTTPSを使用し、証明書の検証機能を維持してください。ownCloudは、安全性の低いTLSオーバーライドは本番環境での使用には不向きであると明記しています。
• Keycloak管理者認証情報を保護し、Keycloakデータベースとレルム構成をバックアップし、Keycloak管理アクセスを制限してください。
• リダイレクトURIとWebオリジンは、実際のownCloudホスト名に限定してください。
• 選択した識別子クレームと、ユーザー名、レルム名、発行者URL、またはクライアントIDを変更した場合の影響について文書化してください。
• 本番環境のインスタンスを切り替える前に、復旧アクセスをテストし、以前の構成への計画的なロールバックを保持してください。

公式資料

• ownCloud Infinite Scale 9.0 プロキシサービス構成
• ownCloud Keycloak導入例ガイド
• ownCloud公式ocis_keycloakデプロイメントファイル
• Keycloak 26.8 サーバー管理者ガイド
• ownCloudの無限の拡張性におけるセキュリティ面