RADIUS を介して VPN にマルチ ファクター認証を導入する場合、VPN ゲートウェイはユーザー名とパスワードを PAP で RADIUS サーバーに送信します。サーバーはパスワードを検証し、Access-Challenge で応答します。クライアントはプロンプトを表示し、ユーザーは認証アプリから取得した 2FA コードを 2 番目のリクエストに入力します。Casdoor には、TOTP を設定しているユーザーに対してまさにこの処理を行う RADIUS サーバーが組み込まれているため、Access-Challenge プロンプトを表示できるゲートウェイ（ベンダー ドキュメントに記載されている FortiGate SSL VPN など）では、追加のソフトウェアなしでパスワードと 2FA コードの両方を要求できます。WPA2/WPA3-Enterprise を使用した Wi-Fi は異なります。802.1X は EAP 上で実行され、EAP には入力用のコードを受け取る仕組みがないため、Casdoor にはこれらのクライアント用にコードをスキップするためのスイッチがあります。

Spring Boot にシングルサインオンを追加するには、各アプリを Casdoor などの OpenID Connect プロバイダーのアプリケーションとして登録し、Spring Security をプロバイダーの Issuer URL に向けます。そして、アプリの種類に応じて適切な Spring モジュールを選択します。サーバー側レンダリングの Web アプリには oauth2Login()、ベアラートークンを受け取る REST API には oauth2ResourceServer().jwt()、ゲートウェイがマイクロサービス群のユーザー認証を一括で行う場合には TokenRelay フィルターを使った Spring Cloud Gateway が適しています。すべてのアプリが同じ Casdoor にユーザーを送るため、Casdoor がセッションを記憶しており、SSO が実現されます。2番目のアプリにリダイレクトされた際、Casdoor はすでにユーザーを知っているため、ログインフォームを表示せずにそのまま戻ってきます。この記事では、これらの3つの構成パターンすべてを1つの Casdoor に対してセットアップし、それぞれ動作する application.yml とカスタマイズした SecurityFilterChain を提供します。

いくつかの Apache データおよびミドルウェアプロジェクトは、独自の Casdoor ログイン機能を備えています：Apache DolphinScheduler には CASDOOR_SSO という認証タイプ（3.2.0 以降）と汎用 OIDC モード（3.4.0 以降）があり、Apache ShenYu には Casdoor プラグイン（2.5.1 以降）、Apache Pulsar Manager には「Log in with Casdoor」ボタン（0.3.0 以降）、Apache APISIX には authz-casdoor プラグイン（2.14.0 以降）があります。Apache IoTDB は例外です：データベース自体は独自ユーザーとパスワードで認証を行い、現在アーカイブされた IoTDB Web Workbench のみが Casdoor と通信します。下表はすべてのプロジェクト、バージョン、および設定場所を一覧にしたものであり、記事の後半では IoTDB でのユーザー認証設定をステップバイステップで解説します。

"Steam OAuth"は存在しません。SteamはOpenID 2.0でユーザーをサインインし、64ビットのSteamIDを提供するだけです。Telegramの従来のLogin WidgetもOAuthではありません。ページにはユーザーフィールドと、ボットトークンで検証するHMAC-SHA256ハッシュが渡されます。現在、Telegramはoauth.telegram.orgで実際のOpenID Connectプロバイダーも運営しています。アプリとこれらのプロバイダーの間にCasdoorを配置すると、Casdoorがプロトコル固有のチェックを行い、アプリはGoogleやGitHubの場合と同様に、Casdoorとの通信にOpenID Connectのみを使用します。

ダミー決済ゲートウェイとは、銀行やカードネットワークに連絡することなくすべてのチェックアウトを支払い済みとして受け入れる決済プロバイダーです。これにより、お金もゲートウェイアカウントも使わずに注文、サブスクリプション、履行（fulfillment）をテストできます。Casdoor にはこれがあります：Dummy payment provider。これを商品に追加し、商品を購入すると、Casdoor はサーバーの外に出ることなく、支払いと注文を Paid として記録し、サブスクリプションを開始し、取引を書き込みます。開発環境では Dummy を使用し、ステージング環境ではベンダーのサンドボックス（Stripe test mode、PayPal sandbox、Paddle sandbox）に切り替えてください。ステージング環境では、カード拒否、3-D Secure、実際のリダイレクトなども必要になります。

Casdoor v4.0 は 9 月 1 日にリリースされました。その後 2 か月間で 25 リリースを重ね、現在は v4.25 となっています。このタイミングで、変更点を振り返ってみましょう。要点は次の通りです。管理コンソールの再構築、セルフホストの簡素化、統合やサインインテーマ用のマーケットプレイスの追加、そして Casdoor が MCP サーバーや AI エージェントの認可サーバーとして機能するようになった点です。

まだ使ったことがない方のために説明すると、Casdoor は Go で書かれたオープンソースの ID およびアクセス管理プラットフォームです。ライブラリやログインプロキシではなく、完全な ID プロバイダーです。ユーザーは Casdoor に存在し、Casdoor がトークンを発行します。アプリは OAuth 2.0、OpenID Connect、SAML 2.0、CAS、LDAP、SCIM を通じて Casdoor と通信します。認可は Apache Casbin によって処理されるため、ACL、RBAC、ABAC モデルすべてが動作します。ライセンスは Apache-2.0 であり、CNCF Landscape にも掲載されています。

Casdoor には公式の Helm chart があります。メインリポジトリの manifests/casdoor にあり、すべての Casdoor リリースと同時に GHCR に公開され、Artifact Hub にも登録されています。Casdoor v4.18.0 以降では、この chart を使用して組織、アプリケーション、ユーザー、プロバイダーを宣言的な設定として保持できます。values ファイルで変更し helm upgrade を実行すると、再起動せずに稼働中の Pod へ変更が適用されます。

この記事では、最初の helm install から Git で管理できるセットアップまで、Kubernetes デプロイメントの手順を解説します。

2026年2月22日、Casdoor は Provisioning の Security & Compliance カテゴリで CNCF Cloud Native Landscape に参加しました。Landscape は広く使用されているクラウドネイティブプロジェクトと製品を集約しており、含まれることでユーザーや企業がクラウドネイティブシステム構築のためのソリューションを発見し評価する助けとなります。

https://landscape.cncf.io/?item=provisioning--security-compliance--casdoor

デジタルアイデンティティ管理が重要な時代において、Casdoorのようなシングルサインオン（SSO）ソリューションは、ユーザーが複数のアプリケーションとのやり取りを革新しています。 CasdoorのSSOは、ユーザーが一度だけ認証することで複数のサービスにアクセスできるようにすることで、ログインプロセスを簡素化します。これにより、ユーザーの利便性が向上するだけでなく、エンゲージメントと満足度も高まります。

Casdoor公式ウェブサイトへようこそ！👋