Σύνδεση παρόχου OpenID Connect

Χρησιμοποιήστε αυτόν τον οδηγό όταν ο πάροχος ταυτότητάς σας μιλά OpenID Connect αντί για SAML. Κάθε πιστοποιημένος εκδότης OIDC λειτουργεί — οι Pocket ID, Keycloak, Auth0, Zitadel, Google Workspace και άλλοι παρόμοιοι ακολουθούν όλοι τα ίδια βήματα· το μόνο που διαφέρει είναι το σημείο όπου ο πάροχός σας εμφανίζει τις τιμές.

Προϋποθέσεις

• έναν πάροχο OIDC όπου μπορείτε να δημιουργήσετε έναν πελάτη — σημειώστε το Client ID του και το URL εκδότη του (τη βάση κάτω από την οποία βρίσκεται το έγγραφο .well-known/openid-configuration), καθώς και το Μυστικό πελάτη του όταν ο πελάτης είναι του εμπιστευτικού τύπου (οι δημόσιοι πελάτες PKCE δεν έχουν),
• έναν διακομιστή Control Center που διαχειρίζεστε εσείς (ο ιδιοκτήτης διακομιστή).

Βήματα

1. Ανοίξτε Ρυθμίσεις → Διακομιστής → Ενιαία σύνδεση και μεταβείτε στο OpenID Connect.
2. Συμπληρώστε το URL εκδότη, το Client ID και το Μυστικό πελάτη (προαιρετικό) όταν ο πάροχος έχει εκδώσει κάποιο. Το Control Center ανακαλύπτει τα endpoints από το τυπικό έγγραφο ανακάλυψης του εκδότη — καμία ρύθμιση ανά πάροχο.
3. Στον πάροχο, δηλώστε την ανακατεύθυνση https://<your-server>/oidc/callback σε αυτόν τον πελάτη.
4. Αν οι ομάδες σας βρίσκονται κάτω από διεκδίκηση διαφορετική από το groups, ορίστε το όνομα του πεδίου Διεκδίκηση ομάδων· αντιστοιχίστε ομάδες σε ρόλους αν θέλετε (η ενιαία σύνδεση δεν μπορεί ποτέ να εκχωρήσει τον ρόλο του ιδιοκτήτη).
5. Επιλέξτε την πολιτική συμμετοχής (αυτόματη προσθήκη σε κάθε χώρο εργασίας ή απαίτηση πρόσκλησης ανά χώρο εργασίας), ενεργοποιήστε τη Χρήση OpenID Connect για σύνδεση και πατήστε Αποθήκευση σύνδεσης.
6. Πατήστε Δοκιμή σύνδεσης — ο διακομιστής ανακτά το έγγραφο ανακάλυψης του εκδότη και επιβεβαιώνει τα endpoints του, οπότε ένα πράσινο μήνυμα σημαίνει ότι όλα λειτουργούν εκτός από τον κύκλο ανταλλαγής μέσω του προγράμματος περιήγησης. Για να ελέγξετε και τη δήλωση του πελάτη, χρησιμοποιήστε τον έλεγχο παρακάτω.
7. Κάντε μια σύνδεση: η οθόνη σύνδεσης στον ιστό εμφανίζει Σύνδεση με OpenID Connect, ή ανοίξτε απευθείας το https://<your-server>/oidc/login.

Οι διεκδικήσεις (email, όνομα, ομάδες) διαβάζονται από το endpoint token του εκδότη μέσω TLS από τον διακομιστή σας — το πρόγραμμα περιήγησης δεν τις παρέχει ποτέ, οπότε δεν εμπλέκεται τοπική επαλήθευση υπογραφής JWT. Ο πελάτης πρέπει να έχει το δικαίωμα να ζητά το scope openid profile email, που είναι ακριβώς αυτό που ζητά το Control Center.

Επειδή αυτό το κανάλι TLS είναι το μόνο που αυθεντικοποιεί τις διεκδικήσεις, το URL του εκδότη πρέπει να είναι https — ένας εκδότης σε απλό κείμενο θα επέτρεπε σε οποιονδήποτε επιτιθέμενο στην πορεία να πλαστογραφεί ταυτότητες μαζικά. Το http γίνεται δεκτό μόνο για εκδότες loopback (localhost, 127.0.0.1, ::1), για τοπική ανάπτυξη.

Δημόσιος ή εμπιστευτικός πελάτης;

Η προεπιλεγμένη — και συνιστώμενη — μορφή είναι ένας δημόσιος πελάτης που χρησιμοποιεί ροή κωδικού εξουσιοδότησης με PKCE (RFC 7636): ο μοναδικός επαληθευτής κωδικού που κρατά ο διακομιστής αντικαθιστά το μυστικό και η ανταλλαγή token είναι δεσμευμένη στο αίτημα εξουσιοδότησης που την ξεκίνησε. Δεν υπάρχει μυστικό που μπορεί να διαρρεύσει και ένας κλεμμένος κωδικός εξουσιοδότησης είναι άχρηστος χωρίς τον επαληθευτή. Ορισμένοι πάροχοι το αποκαλούν τύπο πελάτη «SPA» ή «native» όταν τον δημιουργείτε.

Αν ο πάροχός σας εξέδωσε αντ’ αυτού έναν εμπιστευτικό πελάτη, είτε δηλώστε τον πελάτη ως δημόσιο στον πάροχο (το PKCE παραμένει ενεργό και στις δύο περιπτώσεις), είτε επικολλήστε το μυστικό του πελάτη στο πεδίο Μυστικό πελάτη (προαιρετικό) της σύνδεσης. Το μυστικό αποθηκεύεται στο αρχείο μυστικών 0600 του διακομιστή (ποτέ στη βάση δεδομένων), αποστέλλεται στο endpoint token ως client_secret_post και δεν επιστρέφεται ποτέ μέσω RPC· αν αφήσετε το πεδίο κενό κατά την αποθήκευση, διατηρείται το αποθηκευμένο μυστικό. Όταν μια σύνδεση αποτυγχάνει στην ανταλλαγή token, το αρχείο καταγραφής του διακομιστή αναφέρει το σφάλμα του ίδιου του παρόχου (το invalid_client σημαίνει σχεδόν πάντα ότι το μυστικό λείπει ή είναι λάθος).

Δυνατότητα πρόσβασης

Η ίδια η σύνδεση γίνεται με τη διαμεσολάβηση του προγράμματος περιήγησης: ο εκδότης απλώς ανακατευθύνει το πρόγραμμα περιήγησης του χρήστη πίσω στο /oidc/callback και ο διακομιστής σας κάνει μια εξερχόμενη κλήση HTTPS στο endpoint token — δεν απαιτείται εισερχόμενη σύνδεση από τον εκδότη, οπότε ένας διακομιστής πίσω από NAT λειτουργεί αρκεί τα προγράμματα περιήγησης των χρηστών να μπορούν να τον φτάσουν (LAN, VPN, Tailscale ή σήραγγα). Η παροχή μέσω SCIM αποτελεί την εξαίρεση: ο IdP καλεί απευθείας τον διακομιστή σας, κάτι που απαιτεί σήραγγα ή δημόσιο URL — δείτε παροχή χρηστών με SCIM.

Ελέγξτε τη διαμόρφωσή σας από αυτή τη σελίδα

Ο έλεγχος παρακάτω εκτελείται στο πρόγραμμα περιήγησής σας. Ανακτά απευθείας το έγγραφο ανακάλυψης του εκδότη σας, επομένως αυτός ο ιστότοπος δεν το βλέπει ποτέ, και εφαρμόζει τους κανόνες του διακομιστή: έναν εκδότη https που ταιριάζει με το έγγραφο, endpoints στην ίδια προέλευση του εκδότη, PKCE S256 και τη μέθοδο αυθεντικοποίησης token που χρειάζεται ο τύπος του πελάτη σας. Με ένα Client ID και τη διεύθυνση του διακομιστή, μπορεί να ανοίξει μια δοκιμαστική σύνδεση που δείχνει αν ο πελάτης και το redirect URI του είναι δηλωμένα. Δεν ζητά ποτέ το μυστικό του πελάτη.

Runs in your browserYour browser fetches the discovery document straight from your issuer. Add a server address and it also asks that server which sign-in methods it offers. This site never receives what you type.

Issuer URL

Client ID (optional)

Needed for the test sign-in.

Groups claim (optional)

Client type

Public, PKCE only Confidential, has a client secret

Never paste the secret here. The check only needs to know whether one exists.

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

Paste the discovery document instead

Discovery document JSON

For providers that block other sites from reading it.

Check issuer