ربط مزوّد OpenID Connect

استخدم هذا الدليل حين يدعم موفّر هويتك OpenID Connect لا SAML. أي مُصدِر معتمد وفق OIDC يصلح — Pocket ID وKeycloak وAuth0 وZitadel وGoogle Workspace وأشباهها تتبع الخطوات نفسها؛ ولا يختلف إلا الموضع الذي يعرض فيه موفّرك القيم.

المتطلبات

• موفّر OIDC تستطيع فيه إنشاء عميل — دوّن معرّف العميل وعنوان URL للمُصدِر (الأساس الذي يقع تحته مستند .well-known/openid-configuration)، وسر العميل إن كان العميل من النوع السرّي (عملاء PKCE العامّون بلا سر)،
• خادم Control Center تديره (أنت مالك الخادم).

الخطوات

1. افتح الإعدادات ← الخادم ← تسجيل الدخول الموحّد وبدّل إلى OpenID Connect.
2. املأ عنوان URL للمُصدِر ومعرّف العميل، وأضف سر العميل (اختياري) إن أصدر الموفّر واحدًا. يكتشف Control Center نقاط النهاية من مستند الاكتشاف القياسي لدى المُصدِر — بلا تهيئة تخص موفّرًا بعينه.
3. لدى الموفّر، سجّل إعادة التوجيه https://<your-server>/oidc/callback على ذلك العميل.
4. إن كانت مجموعاتك تحت مطالبة غير groups، عيّن اسم مطالبة المجموعات؛ وعيّن المجموعات إلى الأدوار إن شئت (لا يمنح SSO دور المالك أبدًا).
5. اختر سياسة العضوية (الإضافة التلقائية إلى كل مساحة عمل، أو اشتراط دعوة لكل مساحة عمل)، وفعّل استخدام OpenID Connect لتسجيل الدخول واضغط حفظ الاتصال.
6. اضغط اختبار الاتصال — يجلب الخادم مستند الاكتشاف لدى المُصدِر ويؤكد نقاط نهايته، فالتنبيه الأخضر يعني أن كل شيء يعمل عدا جولة المتصفح ذهابًا وإيابًا. للتحقق من تسجيل العميل أيضًا، استخدم أداة التحقق أدناه.
7. أجرِ تسجيل دخول: تعرض شاشة الاتصال على الويب تسجيل الدخول عبر OpenID Connect، أو افتح https://<your-server>/oidc/login مباشرة.

تُقرأ المطالبات (البريد الإلكتروني والاسم والمجموعات) من نقطة نهاية الرمز لدى المُصدِر عبر TLS بواسطة خادمك — ولا يقدّمها المتصفح أبدًا، فلا يجري أي تحقق محلي من توقيع JWT. يُفترض السماح للعميل بطلب النطاق openid profile email، وهو بالضبط ما يطلبه Control Center.

ولأن قناة TLS هذه هي وحدها ما يثبت صحة المطالبات، يجب أن يكون عنوان URL للمُصدِر https — فمُصدِر غير مشفّر يتيح لأي مهاجم على المسار تزوير الهويات بالجملة. يُقبل http لمُصدِري الاسترجاع (localhost، 127.0.0.1، ::1) فقط، للتطوير المحلي.

عميل عام أم عميل سرّي؟

الشكل الافتراضي — والموصى به — هو عميل عام يستخدم تدفق رمز التفويض مع PKCE (RFC 7636): متحقّق الرمز لمرة واحدة الذي يحتفظ به الخادم يحل محل السر، ويُربَط تبادل الرمز بطلب التفويض الذي أطلقه. لا سرّ يتسرّب، ورمز تفويض مسروق لا ينفع من غير المتحقّق. يسمّي بعض الموفّرين هذا النوع «SPA» أو «native» عند إنشائه.

إن أصدر موفّرك عميلًا سرّيًا بدل ذلك، فإما أن تجعله عامًا لدى الموفّر وإما أن تلصق سر العميل في حقل سر العميل (اختياري) في الاتصال (يبقى PKCE مفعّلًا في الحالين). يُخزَّن السر في ملف أسرار الخادم بصلاحية 0600 (لا في قاعدة البيانات أبدًا)، ويُرسَل إلى نقطة نهاية الرمز بأسلوب client_secret_post ولا يُعاد عبر RPC أبدًا؛ وترك الحقل فارغًا عند الحفظ يُبقي السر المخزَّن. إذا فشل تسجيل الدخول عند تبادل الرمز، يسمّي سجل الخادم خطأ الموفّر نفسه (invalid_client يعني في الأغلب أن السر مفقود أو خاطئ).

إمكانية الوصول

تسجيل الدخول نفسه يتم بوساطة المتصفح: لا يفعل المُصدِر إلا إعادة توجيه متصفح المستخدم إلى /oidc/callback، ويرسل خادمك طلبًا صادرًا عبر HTTPS إلى نقطة نهاية الرمز — فلا حاجة إلى اتصال وارد من المُصدِر، فيعمل خادم خلف NAT ما دامت متصفحات المستخدمين تبلغه (LAN أو VPN أو Tailscale أو نفق). توفير المستخدمين عبر SCIM هو الاستثناء: يستدعي IdP خادمك مباشرة، وهذا يقتضي نفقًا أو عنوان URL عامًا — انظر توفير المستخدمين عبر SCIM.

تحقق من تهيئتك من هذه الصفحة

تعمل أداة التحقق أدناه في متصفحك. تجلب مستند الاكتشاف لدى مُصدِرك مباشرة، فلا يراه هذا الموقع أبدًا، وتطبّق قواعد الخادم: مُصدِر https يطابق المستند، ونقاط نهاية على أصل المُصدِر نفسه، وPKCE S256، وطريقة مصادقة الرمز التي يحتاجها نوع عميلك. ومع معرّف عميل وعنوان خادم، تستطيع الأداة فتح تسجيل دخول تجريبي يبيّن هل العميل ومعرّف URI لإعادة التوجيه مسجّلان. ولا تطلب الأداة سر العميل أبدًا.

Runs in your browserYour browser fetches the discovery document straight from your issuer. Add a server address and it also asks that server which sign-in methods it offers. This site never receives what you type.

Issuer URL

Client ID (optional)

Needed for the test sign-in.

Groups claim (optional)

Client type

Public, PKCE only Confidential, has a client secret

Never paste the secret here. The check only needs to know whether one exists.

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

Paste the discovery document instead

Discovery document JSON

For providers that block other sites from reading it.

Check issuer