🔐 技術調査 - kong-plugin-oidc

docker pull ghcr.io/suwa-sh/kong-plugin-oidc:latest

environment:
  KONG_PLUGINS: bundled,oidc

git clone https://github.com/suwa-sh/kong-plugin-oidc.git
cd kong-plugin-oidc
docker build -t kong:kong-oidc .

docker build --build-arg KONG_VERSION=3.9.1.2-ubuntu -t kong:kong-oidc .

git clone https://github.com/suwa-sh/kong-plugin-oidc.git
cd kong-plugin-oidc
luarocks make kong-plugin-oidc-1.6.0-1.rockspec

cd examples
docker compose up -d

# 動作確認: ブラウザで以下にアクセスし、Keycloak のログイン画面へリダイレクトされることを確認
# http://localhost:8000/some/path
#
# Keycloak 管理画面: http://localhost:8080（admin / admin）
# テスト用クライアントとユーザーを作成し、ログイン後にバックエンドのレスポンスが返ることを確認

_format_version: "3.0"
_transform: true

services:
  - name: my-service
    host: upstream-host
    port: 8080
    protocol: http
    routes:
      - name: my-route
        paths:
          - /api
    plugins:
      - name: oidc
        config:
          client_id: my-client                # IdP で発行したクライアント ID
          client_secret: my-secret            # IdP で発行したクライアントシークレット
          discovery: https://idp.example.com/.well-known/openid-configuration  # IdP の Discovery エンドポイント
          encryption_secret: my-encryption-secret  # セッション暗号化キー（全ノード共通）

curl -X POST http://localhost:8001/services/my-service/plugins \
  --data "name=oidc" \
  --data "config.client_id=my-client" \
  --data "config.client_secret=my-secret" \
  --data "config.discovery=https://idp.example.com/.well-known/openid-configuration" \
  --data "config.encryption_secret=my-encryption-secret"

plugins:
  - name: oidc
    config:
      client_id: foo
      client_secret: fUp4H6418Zt3Zcj1Lxyh3DxrGPs1WE4o
      discovery: http://keycloak:8080/realms/master/.well-known/openid-configuration
      redirect_uri: http://localhost:8000/some/path/callback
      post_logout_redirect_uri: http://localhost:8000/some/path
      redirect_after_logout_uri: http://keycloak:8080/realms/master/protocol/openid-connect/logout
      redirect_after_logout_with_id_token_hint: "yes"
      encryption_secret: Zm9vb29v
      scope: openid profile email
      response_type: code

plugins:
  - name: oidc
    config:
      client_id: my-client
      client_secret: my-secret
      discovery: https://idp.example.com/.well-known/openid-configuration
      encryption_secret: my-encryption-secret
      bearer_jwt_auth_enable: "yes"
      bearer_jwt_auth_allowed_auds:
        - my-client
        - my-api
      bearer_jwt_auth_signing_algs:
        - RS256

plugins:
  - name: oidc
    config:
      client_id: my-client
      client_secret: my-secret
      discovery: https://idp.example.com/.well-known/openid-configuration
      encryption_secret: my-encryption-secret
      bearer_only: "yes"
      introspection_endpoint: https://idp.example.com/oauth2/introspect
      introspection_endpoint_auth_method: client_secret_basic
      introspection_cache_ignore: "no"

config:
  encryption_secret: Zm9vb29v
  session_storage: cookie
  cookie_name: session
  session_idling_timeout: 1800
  session_absolute_timeout: 86400

config:
  encryption_secret: Zm9vb29v
  session_storage: redis
  session_redis_host: redis
  session_redis_port: 6379
  session_redis_database: 0
  session_idling_timeout: 1800
  session_absolute_timeout: 86400

config:
  session_remember_rolling_timeout: 604800    # 7日
  session_remember_absolute_timeout: 2592000  # 30日

config:
  filters: /health,/metrics
  ignore_auth_filters: /public/.*,/static/.*

config:
  header_claims:
    - email
    - name
    - groups
  header_names:
    - x-oidc-email
    - x-oidc-name
    - x-oidc-groups

config:
  access_token_header_name: Authorization
  access_token_as_bearer: "yes"

# 無効化
curl -X PATCH http://localhost:8001/plugins/{plugin-id} \
  -H "Content-Type: application/json" \
  -d '{"enabled": false}'

# 有効化
curl -X PATCH http://localhost:8001/plugins/{plugin-id} \
  -H "Content-Type: application/json" \
  -d '{"enabled": true}'

# 状態確認
curl -s http://localhost:8001/plugins/{plugin-id} | jq '.enabled'

curl -X PATCH http://localhost:8001/plugins/{plugin-id} \
  -H "Content-Type: application/json" \
  -d '{"config": {"openidc_debug_log_level": "ngx.INFO"}}'

# 疎通確認
redis-cli -h ${session_redis_host} -p ${session_redis_port} PING

# セッション数の確認
redis-cli DBSIZE

# キースペース統計
redis-cli INFO keyspace

# 特定キーの TTL 確認
redis-cli TTL <session-key>

# 1. 新バージョンイメージをプル
docker pull ghcr.io/suwa-sh/kong-plugin-oidc:kong-3.11.0.8-1.6.0

# 2. ノードを順番に入れ替え
docker stop kong-node-1
docker run -d --name kong-node-1-new \
  -e KONG_PLUGINS=bundled,oidc \
  ghcr.io/suwa-sh/kong-plugin-oidc:kong-3.11.0.8-1.6.0

# 3. 起動確認
curl http://node-1:8001/status

plugins:
  - name: oidc
    config:
      encryption_secret: "shared-secret-same-on-all-nodes"

config:
  ssl_verify: yes

lua_ssl_verify_depth 5;
lua_ssl_trusted_certificate /etc/ssl/certs/ca-certificates.pem;

config:
  scope: "openid email"

config:
  filters: "/health,/status,/metrics"

# ユニットテスト
busted --coverage spec/unit/

# 統合テスト
bash spec/integration/run-tests.sh

# E2E テスト
bash spec/e2e/run-e2e.sh

# 全ノードの encryption_secret を確認
curl -s http://node-1:8001/plugins | jq '.data[] | select(.name=="oidc") | .config.encryption_secret'
curl -s http://node-2:8001/plugins | jq '.data[] | select(.name=="oidc") | .config.encryption_secret'

# Redis セッションストアに切り替える
curl -X PATCH http://localhost:8001/plugins/{plugin-id} \
  -H "Content-Type: application/json" \
  -d '{
    "config": {
      "session_storage": "redis",
      "session_redis_host": "redis",
      "session_redis_port": 6379
    }
  }'

# Redis への疎通確認
docker exec kong redis-cli -h redis -p 6379 PING

# ログ確認
docker logs kong 2>&1 | grep -i redis

# 1. ログレベルを DEBUG に変更して詳細確認
curl -X PATCH http://localhost:8001/plugins/{plugin-id} \
  -H "Content-Type: application/json" \
  -d '{"config": {"openidc_debug_log_level": "ngx.DEBUG"}}'

# 2. Kong のエラーログで OIDC の処理結果を確認
docker logs kong 2>&1 | grep -E "(oidc|bearer|introspect|jwt)"

# 3. 確認観点
# - bearer_only: "yes" の場合、Authorization: Bearer ヘッダーが送信されているか
# - bearer_jwt_auth_enable: "yes" の場合、JWT の aud クレームが bearer_jwt_auth_allowed_auds に含まれているか
# - JWT の署名アルゴリズムが bearer_jwt_auth_signing_algs に含まれているか
# - JWKS エンドポイントへの疎通が正常か
# - Token が期限切れ（exp < 現在時刻）でないか

# ログレベルを DEBUG に変更
curl -X PATCH http://localhost:8001/plugins/{plugin-id} \
  -H "Content-Type: application/json" \
  -d '{"config": {"openidc_debug_log_level": "ngx.DEBUG"}}'

# 確認項目:
# - introspection_endpoint の URL が正確か
# - introspection_endpoint_auth_method が OP の要件と一致しているか
# - client_id / client_secret が正しいか