Quarkus Securityの概要

Quarkusアプリケーションにセキュリティを組み込む前に、概要情報を確認し、Quarkusのセキュリティアーキテクチャと、Quarkusがサポートするさまざまな認証および認可メカニズムについて学んでください。

To get started with security in Quarkus, we recommend that you first combine the Quarkus built-in Basic HTTP authentication with the JPA identity provider to enable role-based access control (RBAC). Complete the steps in the Secure a Quarkus application with Basic authentication tutorial. After you have successfully secured your Quarkus application with basic HTTP authentication, you can increase the security further by adding more advanced authentication mechanisms, for example, OpenID Connect (OIDC) authentication.

HttpAuthenticationMechanism インターフェースは、QuarkusでHTTPアプリケーションを保護するための主要なエントリメカニズムです。

Quarkus Securityは、 HttpAuthenticationMechanism を使用してHTTPリクエストから認証クレデンシャルを抽出し、 IdentityProvider に委任して、認証クレデンシャルを SecurityIdentity に変換します。たとえば、クレデンシャルは、 Authorization ヘッダー、クライアントの HTTPS 証明書、または Cookie から取得することができます。

IdentityProvider は、認証クレデンシャルを検証し、ユーザー名、ロール、元の認証クレデンシャル、およびその他の属性を持つ SecurityIdentity にマップします。

認証済みリソースごとに、 SecurityIdentity インスタンスを注入して、認証済みの ID 情報を取得することができます。

他の文脈では、例えばJAX-RSの SecurityContext 、JSON Web Tokens（JWT）の JsonWebToken など、同じ情報またはその一部を他の並列表現にすることが可能です。

Quarkusは複数の認証メカニズムをサポートしています。

JPA IdentityProvider は、 SecurityIdentity インスタンスを作成します。このインスタンスは、ユーザー認証時に使用され、アクセス要求の確認と認可を行い、Quarkus アプリケーションを保護します。

IdentityProvider は、 HttpAuthenticationMechanism から提供された認証クレデンシャルを、 SecurityIdentity インスタンスに変換します。

一部のエクステンション、たとえば、 OIDC 、 OAuth2 、 SmallRye JWT は、サポートされる認証フローに固有のインライン IdentityProvider 実装を持ちます。たとえば、 quarkus-oidc は、トークンを SecurityIdentity インスタンスに変換するために、独自の IdentityProvider を使用します。

Basic または Form HTTPベース認証を使用する場合、ユーザー名とパスワードを SecurityIdentity インスタンスに変換できる IdentityProvider インスタンスを追加する必要があります。

Quarkus also supports role-based access control (RBAC). For more information about RBAC and other authorization options in Quarkus, see Security authorization.

Quarkus Securityは、高度にカスタマイズ可能です。Quarkusの以下のコアセキュリティコンポーネントをカスタマイズすることができます:

リアクティブセキュリティを含むQuarkus Securityのカスタマイズ、およびセキュリティプロバイダーの登録方法の詳細については、 セキュリティのカスタマイズ を参照してください。

ユーザ認証情報が異なるソースから提供される場合、認証メカニズムを組み合わせることができます。 例えば、組み込みの Basic および quarkus-oidc Bearer 認証メカニズムを組み合わせることができます。

By default, Quarkus does proactive authentication, which means that all incoming requests with credentials are authenticated regardless of whether the target page requires authentication. For more information, see Proactive authentication.

QuarkusがSSL/TLSを使用してセキュアな接続をサポートする方法の詳細については、 HTTPリファレンス 情報を参照してください。

Quarkusアプリケーションを別のドメインで実行されている別のアプリケーションからアクセスできるようにするには、CORS（Cross-Origin Resource Sharing）を設定する必要があります。 Quarkusが提供するCORSフィルターの詳細については、 HTTPリファレンス 情報を参照してください。

Quarkus Securityでは、 Cross-Site Request Forgery 攻撃からアプリケーションを保護するRESTEasy Reactiveフィルタを提供しています。 詳細については、 クロスサイトリクエストフォージェリ対策 を参照してください。

Quarkusのエンドポイントが設定するCookieのいずれにも、 SameSite Cookieプロパティを追加することができます。詳細については、 SameSite cookies を参照してください。

シークレットエンジンは、データを保存、生成、暗号化するコンポーネントです。

Quarkusは、HashiCorp Vaultを包括的にサポートしています。詳細については、 QuarkusとHashiCorp Vault のドキュメントを参照してください。

Quarkus SecurityアーキテクチャにRESTEasy ReactiveとJacksonが含まれている場合、Quarkusでは、設定されたセキュリティに基づいて、JSONシリアライズに含まれるフィールドを制限できます。詳細については、 RESTEasy Reactiveを使用したRESTサービスの作成 を参照してください。

REST Data with Panache エクステンションを使用してリソースを自動生成している場合でも、パッケージ javax.annotation.security 内の Security アノテーションを使用することができます。詳しくは、 自動生成されたリソースの保護 を参照してください。

Quarkusのタグのほとんどは、米国の National Vulnerability Database （NVD）にCommon Platform Enumeration（CPE）名フォーマットで登録されています。登録されたQuarkusのCPE名を表示するには、 この検索クエリ を使用します。

NVEデータベースがQuarkusタグに対してCVEフラグを立てた場合、CVEの詳細を提供するリンクが所定のCPE名エントリに追加されます。

NVD CPEチームは定期的にリストを更新していますが、誤検出が発生した場合は、 quarkusio リポジトリにissueを作成して詳細を報告してください。

Maven OWASP Dependency checkプラグイン を使用することで、NVDフィードを使用してアプリケーションビルド時に脆弱性を検出することができます。

Quarkus MavenプロジェクトにOWASP Dependency checkプラグインを追加するには、 pom.xml ファイルに次のXML設定を追加します：

次に、以下のようにプラグインを設定します:

比較的深刻でない問題を検出するには、次のコードサンプルで示すように、 failBuildOnCVSS の値を調整して誤検出を抑制してください：

抑制リストを定期的に見直し、更新して、結果が最新であるようにして下さい。次の例に示すように、expiry属性を追加することで、個々の抑制に時間制限を適用することも可能です:

<suppress until="2022-01-01Z">…​</suppress> 必要であれば有効期限を調整することもできます。

Quarkusのセキュリティをテストする場合は、 IdentityProvider が、ユーザー名、パスワード、ロールが application.properties に設定されていることを確認してください。 Quarkusセキュリティのテストの詳細については、 ユーザー情報の設定 を参照してください。