#Управление OIDC

Платформа поддерживает протокол OIDC (OpenID Connect), что позволяет администраторам платформы входить в систему с использованием сторонних учетных записей после добавления конфигурации OIDC. Администраторы платформы также могут обновлять и удалять настроенные службы OIDC.

#Обзор OIDC

OIDC (OpenID Connect) — это стандартный протокол аутентификации на основе протокола OAuth 2.0. Он использует сервер авторизации OAuth 2.0 для аутентификации личности пользователя для сторонних клиентов и передает соответствующую информацию об аутентификации клиента.

OIDC позволяет всем типам клиентов (включая серверные, мобильные и JavaScript-клиенты) запрашивать и получать аутентифицированные сеансы и информацию о конечном пользователе. Этот набор спецификаций является расширяемым, что позволяет участникам использовать дополнительные возможности, такие как шифрование данных идентификации, обнаружение OpenID Provider и управление сеансами, когда это имеет смысл. Подробнее см. в официальной документации OIDC.

#Добавление OIDC

Добавив OIDC, вы можете использовать сторонние учетные записи платформы для входа в систему.

Примечание: После успешного входа пользователей OIDC в платформу платформа будет использовать атрибут email пользователя в качестве уникального идентификатора. У пользователей сторонней платформы, поддерживающей OIDC, должен быть атрибут email; в противном случае они не смогут войти в платформу.

#Порядок выполнения

1. На левой панели навигации выберите Users > IDPs.

2. Нажмите Add OIDC.

3. Настройте параметры Basic Information.

4. Настройте параметры OIDC Server Configuration:

   • Identity Provider URL: URL издателя, то есть адрес доступа к поставщику идентификации OIDC.

   • Client ID: идентификатор клиента для OIDC-клиента.

   • Client Secret: секретный ключ для OIDC-клиента.

   • Redirect URI: адрес обратного вызова после входа на стороннюю платформу, который представляет собой URL издателя dex + /callback.

   • Logout URL: адрес, который посещает пользователь после выполнения операции Logout. Если поле пустое, адрес выхода будет начальной страницей входа в платформу.

5. В области IDP Service Configuration Validation введите Username и Password действующей учетной записи OIDC для проверки конфигурации.

   Совет: если имя пользователя и пароль указаны неверно, при добавлении будет выдана ошибка, указывающая на недопустимые учетные данные, и OIDC не сможет быть добавлен.

6. Нажмите Create.

#Добавление OIDC через YAML

Помимо конфигурации через форму, платформа также поддерживает добавление OIDC через YAML, что обеспечивает более гибкую настройку параметров аутентификации, сопоставлений claim, синхронизации групп пользователей и других расширенных возможностей.

#Пример: настройка OIDC Connector

В следующем примере показано, как настроить OIDC Connector для интеграции со службами аутентификации OIDC. Этот пример конфигурации подходит для следующих сценариев:

1. Необходимо интегрировать OIDC как сервер аутентификации.

2. Необходимо поддерживать синхронизацию информации о группах пользователей.

3. Необходимо настроить адрес перенаправления после выхода.

4. Необходимо настроить определенные scopes OIDC.

5. Необходимо настроить сопоставления claim.

apiVersion: dex.coreos.com/v1
kind: Connector
# Connector basic information
id: oidc               # Connector unique identifier
name: oidc             # Connector display name
type: oidc             # Connector type is OIDC
metadata:
  annotations:
    cpaas.io/description: "11"  # Connector description
  name: oidc
  namespace: cpaas-system
spec:
  config:
    # OIDC server configuration
    # Configure server connection information, including server address, client credentials, and callback address
    issuer: http://auth.com/auth/realms/master               # OIDC server address
    clientID: dex                                            # Client ID
    # Service account secret key, valid when creating Connector resources for the first time
    clientSecret: xxxxxxx
    redirectURI: https://example.com/dex/callback            # Callback address, must match the address registered by the OIDC client

    # Security configuration
    # Configure SSL verification and user information acquisition method
    insecureSkipVerify: true                                # Whether to skip SSL verification, it is recommended to set to false in a production environment
    getUserInfo: false                                      # Whether to obtain additional user information through the UserInfo endpoint

    # Logout configuration
    # Configure the redirect address after user logout
    logoutURL: https://test.com                            # Logout redirect address, can be customized to the page jumped after user logout

    # Scope configuration
    # Configure the required authorization scope, ensure that the OIDC server supports these scopes
    scopes:
      - openid                                             # Required, used for OIDC basic authentication
      - profile                                            # Optional, used to obtain user basic information
      - email                                              # Optional, used to obtain user email

    # Claim mapping configuration
    # Configure the mapping relationship between OIDC returned claims and platform user attributes
    overrideClaimMapping: false                          # Whether to enforce the claimMapping rules when standard claims are also returned
    claimMapping:
      email: email                                         # Email mapping, used for user unique identification
      groups: groups                                       # Group claim mapping. For non-standard claims, set it to the actual key, such as "cognito:groups"
      phone: ""                                            # Phone mapping, optional
      preferred_username: preferred_username               # Username mapping, used for display name

    # Custom claimextra configuration
    # External custom fields will be dynamically added to the user object spec.extra field
    claimExtra:
      - field: xxx            # Custom field name
        type: string          # Field type value is consistent with the definition of golang language type. For example: string, int, bool, map[string]string, []string, []int

    # User group configuration
    # Configure user group synchronization related parameters, ensure that the token contains group information
    groupsKey: groups                                      # Key name used to read group data. Keep it consistent with claimMapping.groups
    insecureEnableGroups: false                           # Whether to enable group synchronization (group claims may be stale until ID token refresh)

#Поля, связанные с группами OIDC

Когда требуется синхронизировать группы пользователей из провайдера OIDC, настройте следующие поля совместно:

Примечания

• Если провайдер требует явного scope для групп, включите groups в scopes.
• claimMapping может не переопределять стандартные claim, возвращаемые провайдером, если для overrideClaimMapping не установлено значение true.
• Group claim обновляются при обновлении ID token. Изменения членства в группах на стороне провайдера могут отображаться не сразу.

#Связанные операции

Вы можете нажать справа на странице списка или нажать Actions в правом верхнем углу на странице сведений, чтобы при необходимости обновить или удалить OIDC.