Quarkus Security overview

Quarkusアプリケーションにセキュリティを組み込む前に、概要情報を確認し、Quarkusのセキュリティアーキテクチャと、Quarkusがサポートするさまざまな認証および認可メカニズムについて学んでください。

Quarkusのセキュリティに入門するには、まず、Quarkusに組み込まれている Basic HTTP認証 とJPA IDプロバイダーを組み合わせて、ロールベースのアクセス制御（RBAC）を有効にすることをお勧めします。 QuarkusアプリケーションのBasic認証による保護 チュートリアルのステップを完了してください。QuarkusアプリケーションのBasic HTTP認証による保護が出来たら、OpenID Connect（OIDC）認証など、より高度な認証メカニズムを追加して、セキュリティをさらに高めることができます。

HttpAuthenticationMechanism インターフェースは、QuarkusでHTTPアプリケーションを保護するための主要なエントリメカニズムです。

Quarkus Securityは、 HttpAuthenticationMechanism を使用してHTTPリクエストから認証クレデンシャルを抽出し、 IdentityProvider に委任して、認証クレデンシャルを SecurityIdentity に変換します。たとえば、クレデンシャルは、 Authorization ヘッダー、クライアントの HTTPS 証明書、または Cookie から取得することができます。

IdentityProvider は、認証クレデンシャルを検証し、ユーザー名、ロール、元の認証クレデンシャル、およびその他の属性を持つ SecurityIdentity にマップします。

認証済みリソースごとに、 SecurityIdentity インスタンスを注入して、認証済みの ID 情報を取得することができます。

他の文脈では、例えばJAX-RSの SecurityContext 、JSON Web Tokens（JWT）の JsonWebToken など、同じ情報またはその一部を他の並列表現にすることが可能です。

Quarkusは複数の認証メカニズムをサポートしています。

JPA IdentityProvider は、 SecurityIdentity インスタンスを作成します。このインスタンスは、ユーザー認証時に使用され、アクセス要求の確認と認可を行い、Quarkus アプリケーションを保護します。

IdentityProvider は、 HttpAuthenticationMechanism から提供された認証クレデンシャルを、 SecurityIdentity インスタンスに変換します。

一部のエクステンション、たとえば、 OIDC 、 OAuth2 、 SmallRye JWT は、サポートされる認証フローに固有のインライン IdentityProvider 実装を持ちます。たとえば、 quarkus-oidc は、トークンを SecurityIdentity インスタンスに変換するために、独自の IdentityProvider を使用します。

Basic または Form HTTPベース認証を使用する場合、ユーザー名とパスワードを SecurityIdentity インスタンスに変換できる IdentityProvider インスタンスを追加する必要があります。

Quarkusは、ロールベースのアクセスコントロール（RBAC）もサポートしています。RBACとQuarkusのその他の認可オプションの詳細については、 セキュリティ認可 を参照してください。

Quarkus Securityは、高度にカスタマイズ可能です。Quarkusの以下のコアセキュリティコンポーネントをカスタマイズすることができます:

リアクティブセキュリティを含むQuarkus Securityのカスタマイズ、およびセキュリティプロバイダーの登録方法の詳細については、 セキュリティのカスタマイズ を参照してください。

ユーザ認証情報が異なるソースから提供される場合、認証メカニズムを組み合わせることができます。 例えば、組み込みの Basic および quarkus-oidc Bearer 認証メカニズムを組み合わせることができます。

デフォルトでは、Quarkusはプロアクティブ認証を行います。つまり、ターゲットページが認証を必要としているかどうかにかかわらず、クレデンシャルを持つすべての着信リクエストが認証されます。詳細については、 プロアクティブ認証 を参照してください。

Quarkusアプリケーションを別のドメインで実行されている別のアプリケーションからアクセスできるようにするには、CORS（Cross-Origin Resource Sharing）を設定する必要があります。 Quarkusが提供するCORSフィルターの詳細については、 HTTPリファレンス 情報を参照してください。

Quarkus Securityでは、 Cross-Site Request Forgery 攻撃からアプリケーションを保護するRESTEasy Reactiveフィルタを提供しています。 詳細については、 クロスサイトリクエストフォージェリ対策 を参照してください。

Quarkusのエンドポイントが設定するCookieのいずれにも、 SameSite Cookieプロパティを追加することができます。詳細については、 SameSite cookies を参照してください。

シークレットエンジンは、データを保存、生成、暗号化するコンポーネントです。

Quarkusは、HashiCorp Vaultを包括的にサポートしています。詳細については、 QuarkusとHashiCorp Vault のドキュメントを参照してください。

Quarkus SecurityアーキテクチャにRESTEasy ReactiveとJacksonが含まれている場合、Quarkusでは、設定されたセキュリティに基づいて、JSONシリアライズに含まれるフィールドを制限できます。詳細については、 RESTEasy Reactiveを使用したRESTサービスの作成 を参照してください。

REST Data with Panache エクステンションを使用してリソースを自動生成している場合でも、パッケージ javax.annotation.security 内の Security アノテーションを使用することができます。詳しくは、 自動生成されたリソースの保護 を参照してください。

Quarkusのタグのほとんどは、米国の National Vulnerability Database （NVD）にCommon Platform Enumeration（CPE）名フォーマットで登録されています。登録されたQuarkusのCPE名を表示するには、 この検索クエリ を使用します。

NVEデータベースがQuarkusタグに対してCVEフラグを立てた場合、CVEの詳細を提供するリンクが所定のCPE名エントリに追加されます。

NVD CPEチームは定期的にリストを更新していますが、誤検出が発生した場合は、 quarkusio リポジトリにissueを作成して詳細を報告してください。

Maven OWASP Dependency checkプラグイン を使用することで、NVDフィードを使用してアプリケーションビルド時に脆弱性を検出することができます。

Quarkus MavenプロジェクトにOWASP Dependency checkプラグインを追加するには、 pom.xml ファイルに次のXML設定を追加します：

次に、以下のようにプラグインを設定します:

比較的深刻でない問題を検出するには、次のコードサンプルで示すように、 failBuildOnCVSS の値を調整して誤検出を抑制してください：

抑制リストを定期的に見直し、更新して、結果が最新であるようにして下さい。次の例に示すように、expiry属性を追加することで、個々の抑制に時間制限を適用することも可能です:

<suppress until="2022-01-01Z">…​</suppress> 必要であれば有効期限を調整することもできます。

Quarkusのセキュリティをテストする場合は、 IdentityProvider が、ユーザー名、パスワード、ロールが application.properties に設定されていることを確認してください。 Quarkusセキュリティのテストの詳細については、 ユーザー情報の設定 を参照してください。