OfficialSPIMFA / PasswordlessActive

keycloak-provider

privacyidea/keycloak-provider ↗

OTP / 2FA via a privacyIDEA server.privacyIDEA連携のOTP二要素認証

★
131
Forks
24
Contributors
15
Updated
2026-07-01
KC
26.5.6
License
Apache-2.0

What it can doできること6

  • Use privacyIDEA's MFA (OTP, push and other tokens) as an authentication step in Keycloak.privacyIDEAのMFA（OTP、プッシュなどのトークン）をKeycloakの認証ステップとして使える
  • Handle username and password itself (since 1.5.0), run passwordless, or check the second factor before Keycloak's password form.1.5.0以降はユーザー名とパスワードも自前で処理できる。パスワードレスにしたり、Keycloakのパスワード入力の前に二要素をチェックしたりも可能
  • Log in with passkeys, or run in passkey-only mode.パスキーでのログインや、パスキーのみのモードにも対応
  • Trigger challenges with a service account, or by sending the user's or a static password.サービスアカウント、ユーザーのパスワード、固定パスワードの送信でチャレンジを発行できる
  • Include or exclude Keycloak groups from 2FA (optionally with inherited groups), forward client IP and headers, and auto-submit OTPs.Keycloakのグループ単位で2FAの対象・除外を指定（親グループも考慮可能）。クライアントIPやヘッダーの転送、OTP入力後の自動送信も可能
  • Act as an external-authentication method for Microsoft Entra ID, verifying the id_token_hint.Microsoft Entra IDの外部認証方式として動作し、id_token_hint を検証

What it cannot do / limitsできないこと・制約4

  • Needs a privacyIDEA server — it is a connector, not a standalone MFA.privacyIDEAサーバーが必要。単体で動くMFAではなく連携用のプロバイダー
  • Group include/exclude rules have no effect with usernameless (passkey) authentication.ユーザー名なし（パスキー）認証では、グループの対象・除外設定は効かない
  • If both included and excluded groups are set, the excluded setting is ignored.対象グループと除外グループを両方設定すると、除外の設定は無視される
  • Turning off SSL verification is possible but discouraged for production.SSL検証を無効にもできるが、本番環境では非推奨

Requirements前提条件