OfficialSPIAuthenticationActive

keycloak-client-cert-lookup-for-envoy

Nordix/keycloak-client-cert-lookup-for-envoy ↗

X.509 client certificate lookup for Envoy proxies.Envoy経由のX.509クライアント証明書取得

★
9
Forks
1
Contributors
2
Updated
2026-10-19
KC
26.8.1
License
Apache-2.0

What it can doできること3

  • Let Keycloak read the client certificate from Envoy's x-forwarded-client-cert (XFCC) header, so X.509 / mTLS client authentication works behind Envoy.Envoyが付ける x-forwarded-client-cert（XFCC）ヘッダーからKeycloakがクライアント証明書を読めるようにし、Envoy配下でもX.509/mTLSのクライアント認証を使えるようにする
  • Optionally accept XFCC headers only from authorised proxies (by verifying the proxy's own TLS client certificate).プロキシ自身のTLSクライアント証明書を検証し、許可したプロキシからのXFCCヘッダーだけを受け付けることもできる
  • Ships as a JAR or an OCI image for Kubernetes image volumes, with docs for ingress controllers.JARのほか、Kubernetesのイメージボリューム用のOCIイメージでも提供。Ingressコントローラの設定ドキュメントもある

What it cannot do / limitsできないこと・制約3

  • Uses Keycloak's internal x509cert-lookup SPI, which may change without notice — newer Keycloak versions may need updates (a warning is logged).Keycloakの内部SPI x509cert-lookup を使っており、予告なく変わる可能性がある。新しいKeycloakでは更新が必要になることがある（起動時に警告が出る）
  • Without the optional authorisation setup, clients bypassing the proxy could forge XFCC headers to impersonate others.任意の認可設定をしないと、プロキシを経由しないクライアントがXFCCヘッダーを偽装して他人になりすませる
  • Not published to Maven Central — build it yourself or use the OCI image.Maven Centralには公開されていない。自分でビルドするか、OCIイメージを使う

Requirements前提条件