OIDC 管理

平台支持 OIDC（OpenID Connect）协议，在添加 OIDC 配置后，平台管理员可以使用第三方账号登录。平台管理员还可以更新和删除已配置的 OIDC 服务。

OIDC 概述

OIDC（OpenID Connect）是一种基于 OAuth 2.0 协议的身份认证标准协议。它使用 OAuth 2.0 授权服务器为第三方客户端提供用户身份认证，并将相应的身份认证信息传递给客户端。

OIDC 允许各类客户端（包括服务器端、移动端和 JavaScript 客户端）请求并接收已认证的会话和最终用户信息。该规范套件具有可扩展性，参与方可以在有意义时使用可选功能，例如身份数据加密、OpenID Provider 发现和会话管理。更多信息请参考 OIDC official documentation。

添加 OIDC

通过添加 OIDC，您可以使用第三方平台账号登录平台。

Note：OIDC 用户成功登录平台后，平台将使用用户的 email 属性作为唯一标识。支持 OIDC 的第三方平台用户必须具有 email 属性，否则将无法登录平台。

操作步骤

在左侧导航栏中，点击 Users > IDPs。
点击 Add OIDC。
配置 Basic Information 参数。
配置 OIDC Server Configuration 参数：
- Identity Provider URL：颁发者 URL，即 OIDC identity provider 的访问地址。
- Client ID：OIDC 客户端的标识符。
- Client Secret：OIDC 客户端的密钥。
- Redirect URI：登录第三方平台后的回调地址，即 dex issuer 的 URL + /callback。
- Logout URL：用户执行 Logout 操作后访问的地址。如果为空，则登出地址为平台的初始登录页面。
在 IDP Service Configuration Validation 区域，输入一个有效 OIDC 账号的 Username 和 Password 用于验证配置。

Tip：如果用户名和密码不正确，在添加时会报错，提示凭据无效，且无法添加 OIDC。
点击 Create。

通过 YAML 添加 OIDC

除了表单配置外，平台还支持通过 YAML 添加 OIDC，这样可以更灵活地配置认证参数、claim 映射、用户组同步以及其他高级功能。

示例：配置 OIDC Connector

以下示例演示如何配置一个用于集成 OIDC identity authentication services 的 OIDC Connector。该配置示例适用于以下场景：

需要将 OIDC 作为身份认证服务器集成。
需要支持用户组信息同步。
需要自定义登出重定向地址。
需要配置特定的 OIDC scopes。
需要自定义 claim 映射。

apiVersion: dex.coreos.com/v1
kind: Connector
# Connector basic information
id: oidc               # Connector unique identifier
name: oidc             # Connector display name
type: oidc             # Connector type is OIDC
metadata:
  annotations:
    cpaas.io/description: "11"  # Connector description
  name: oidc
  namespace: cpaas-system
spec:
  config:
    # OIDC server configuration
    # Configure server connection information, including server address, client credentials, and callback address
    issuer: http://auth.com/auth/realms/master               # OIDC server address
    clientID: dex                                            # Client ID
    # Service account secret key, valid when creating Connector resources for the first time
    clientSecret: xxxxxxx
    redirectURI: https://example.com/dex/callback            # Callback address, must match the address registered by the OIDC client

    # Security configuration
    # Configure SSL verification and user information acquisition method
    insecureSkipVerify: true                                # Whether to skip SSL verification, it is recommended to set to false in a production environment
    getUserInfo: false                                      # Whether to obtain additional user information through the UserInfo endpoint

    # Logout configuration
    # Configure the redirect address after user logout
    logoutURL: https://test.com                            # Logout redirect address, can be customized to the page jumped after user logout

    # Scope configuration
    # Configure the required authorization scope, ensure that the OIDC server supports these scopes
    scopes:
      - openid                                             # Required, used for OIDC basic authentication
      - profile                                            # Optional, used to obtain user basic information
      - email                                              # Optional, used to obtain user email

    # Claim mapping configuration
    # Configure the mapping relationship between OIDC returned claims and platform user attributes
    overrideClaimMapping: false                          # Whether to enforce the claimMapping rules when standard claims are also returned
    claimMapping:
      email: email                                         # Email mapping, used for user unique identification
      groups: groups                                       # Group claim mapping. For non-standard claims, set it to the actual key, such as "cognito:groups"
      phone: ""                                            # Phone mapping, optional
      preferred_username: preferred_username               # Username mapping, used for display name

    # Custom claimextra configuration
    # External custom fields will be dynamically added to the user object spec.extra field
    claimExtra:
      - field: xxx            # Custom field name
        type: string          # Field type value is consistent with the definition of golang language type. For example: string, int, bool, map[string]string, []string, []int

    # User group configuration
    # Configure user group synchronization related parameters, ensure that the token contains group information
    groupsKey: groups                                      # Key name used to read group data. Keep it consistent with claimMapping.groups
    insecureEnableGroups: false                           # Whether to enable group synchronization (group claims may be stale until ID token refresh)

OIDC 组相关字段

当需要从 OIDC provider 同步用户组时，请同时配置以下字段：

Field	Description
`overrideClaimMapping`	控制 `claimMapping` 中的映射是否覆盖默认的 claim 选择行为。当您的 provider 同时返回标准和非标准 claim，并且希望强制使用自定义映射时，请将其设置为 `true`。
`claimMapping.groups`	将 provider 的某个 claim 映射为平台使用的标准 `groups` claim。如果 provider 返回的是非标准 key（例如 `cognito:groups`），请将此字段设置为该 key。
`groupsKey`	指定用于读取组数据进行同步的 claim key。为避免不匹配，请使用与 `claimMapping.groups` 相同的值。
`insecureEnableGroups`	启用 OIDC 登录的 group-claim 处理。仅当您需要组同步且 provider 返回 group claim 时，才应启用此项。

Notes

如果 provider 需要显式的 group scope，请在 scopes 中包含 groups。
除非将 overrideClaimMapping 设置为 true，否则 claimMapping 可能不会覆盖 provider 返回的标准 claim。
组 claim 会随着 ID token 刷新而刷新。provider 侧的组成员变更可能不会立即生效。

OIDC 管理

目录

OIDC 概述

添加 OIDC

操作步骤

通过 YAML 添加 OIDC

示例：配置 OIDC Connector

OIDC 组相关字段

相关操作

#OIDC 管理

#目录

#OIDC 概述

#添加 OIDC

#操作步骤

#通过 YAML 添加 OIDC

#示例：配置 OIDC Connector

#OIDC 组相关字段

#相关操作

OIDC 管理

目录

OIDC 概述

添加 OIDC

操作步骤

通过 YAML 添加 OIDC

示例：配置 OIDC Connector

OIDC 组相关字段

相关操作