Docker Composeで簡単にOpenAMとPolicy Agentを構築する

スタッフの五十島です。

OpenAMについて業務で触れる機会があり情報を集めたところ、古いものが多かったり日本語の情報が少なかったり、情報通りに構築してもうまく動かなかったり、手軽に学習できないような状況でした・・・

そこで、誰でも簡単にOpenAMと Policy Agentによるアクセス管理を試せる、Docker Composeを使った環境の構築手順を紹介したいと思います！

Dockerの動作環境であればホスト側のOSに制限はありませんが、動作の検証はRocky Linuxでしています。

また、主な設定値は以下のページを参考にしています。

OpenAMの設定値：Quick Start Guide · OpenIdentityPlatform/OpenAM Wiki · GitHub
docker-compose.yml：Compose Specification（仕様） — Docker-docs-ja 20.10 ドキュメント
Dockerfile：Dockerfile のベスト・プラクティス — Docker-docs-ja 20.10 ドキュメント

前提条件

• DockerとDocker Composeがインストールされていること。
  • なるべく新しいバージョンを推奨します。
• 使用するコンテナ名やポート番号は適宜被らないものにすること。
• 使用するポート（80番や8080番など）がファイアウォールで解放されていて、アクセスできること。
• OpenAMとPolicy AgentにFQDNでアクセスできること。
  • OpenAMはFQDNによるアクセスが必須なので、クライアント側のhostsやDNSサーバにFQDNとIPアドレスを登録してください。
  • ブラウザのCookieの仕様上、Policy Agentへのログイン情報の共有のため、少なくともそれぞれのドメイン名は同じものを使用してください。

1. ディレクトリを作成し、その中に.envファイルとdocker-compose.ymlファイルを作成します。
   .envファイルにそれぞれのFQDNとポート番号、エージェント名、Policy Agent用のパスワードを記載してください。後ほどPolicy Agentの作成時に使用します。
   172.17.0.1はDockerコンテナから見たデフォルトのホスト側のIPアドレスなので、相手のFQDNにこれを指定することでコンテナをまたいだ名前解決を可能にしています。
   ※Policy Agentはshmサイズを指定しないと動作しないため注意が必要です。
   

$ mkdir ~/openam
$ cd ~/openam
$ vi .env
$ vi docker-compose.yml

OPENAM_FQDN=openam.example.com
OPENAM_PORT=8080
AGENT_FQDN=example.com
AGENT_PORT=80
AGENT_NAME=apache_agent
PA_PASSWORD=password

version: "3.9"

services:
  openam:
    image: openidentityplatform/openam
    container_name: openam
    hostname: ${OPENAM_FQDN}
    ports:
      - "${OPENAM_PORT}:8080"
    extra_hosts:
      - "${AGENT_FQDN}:172.17.0.1"
    restart: always

  apache_agent:
    build: 
      context: ./apache
      args:
        OPENAM_URL: http://${OPENAM_FQDN}:${OPENAM_PORT}
        AGENT_URL: http:/${AGENT_FQDN}:${AGENT_PORT}
        AGENT_NAME: ${AGENT_NAME}
        PA_PASSWORD: ${PA_PASSWORD}
    container_name: apache_agent
    hostname: ${AGENT_FQDN}
    ports:
      - "${AGENT_PORT}:80"
    extra_hosts:
      - "${OPENAM_FQDN}:172.17.0.1"
    shm_size: 2gb
    restart: always

2. apacheディレクトリを作成し、その中にDockerfileを作成します。

$ mkdir apache
$ cd apache
$ vi Dockerfile

FROM httpd:2.4

ARG OPENAM_URL
ARG AGENT_URL
ARG AGENT_NAME
ARG PA_PASSWORD

ENV INSTALL="/usr/web_agents/apache24_agent/bin/agentadmin --s \"/usr/local/apache2/conf/httpd.conf\" \"$OPENAM_URL/openam\" \"$AGENT_URL\" \"/\" \"$AGENT_NAME\" \"/tmp/pwd.txt\" --acceptLicence --changeOwner"

RUN apt-get update \
 && apt-get install -y wget unzip \
 && wget --show-progress --progress=bar:force:noscroll --quiet --output-document=/tmp/Apache_v24_Linux_64bit_4.1.1.zip https://github.com/OpenIdentityPlatform/OpenAM-Web-Agents/releases/download/4.1.1/Apache_v24_Linux_64bit_4.1.1.zip \
 && unzip /tmp/Apache_v24_Linux_64bit_4.1.1.zip -d /usr/ \
 && rm /tmp/Apache_v24_Linux_64bit_4.1.1.zip \
 && echo $PA_PASSWORD > /tmp/pwd.txt \
 && apt-get remove -y wget unzip \
 && apt-get clean \
 && rm -rf /var/lib/apt/lists/*

3. docker-compose.ymlファイルがあるディレクトリ（今回は~/openam）で以下のコマンドを実行し、コンテナを起動します。
   ※Composeはプラグイン版とスタンドアロン版でコマンドが異なるため注意が必要です。

$ cd ~/openam
//プラグイン版
$ docker compose up -d
//スタンドアロン版
$ docker-compose up -d

5. OpenAMで必要な設定が完了したので、以下のコマンドを実行してPolicy Agentを構築します。
   環境変数に登録されたコマンドを利用してagentadminにPolicy Agentの情報を渡すことで、エージェントの設定を自動で導入しています。またApacheにエージェントのモジュールを追加しているため、コンテナを再起動することで設定を反映させています。

docker container exec apache_agent bash -c 'eval $INSTALL'
docker-compose restart apache_agent

/usr/web_agents/apache24_agent/bin/agentadmin --s "/usr/local/apache2/conf/httpd.conf" "http://openam:8080/openam" "http://example.com:80" "/" "apache_agent" "/tmp/pwd.txt" --acceptLicence –changeOwner