חיבור ספק OpenID Connect

השתמשו במדריך הזה כשספק הזהויות שלכם מדבר OpenID Connect ולא SAML. כל מנפיק בעל הסמכת OIDC עובד — Pocket ID, Keycloak, Auth0, Zitadel, Google Workspace וחבריהם פועלים לפי אותם שלבים; רק המקום שבו הספק שלכם מציג את הערכים שונה.

דרישות מוקדמות

• ספק OIDC שבו תוכלו ליצור לקוח — רשמו את מזהה לקוח שלו ואת כתובת ה-Issuer שלו (הבסיס שתחתיו נמצא המסמך .well-known/openid-configuration), וכן את סוד לקוח שלו כשהלקוח הוא מהסוג החסוי (ללקוחות PKCE ציבוריים אין כזה),
• שרת Control Center שאתם מנהלים (הבעלים של השרת).

שלבים

1. פתחו את הגדרות → שרת → כניסה מאוחדת ועברו אל OpenID Connect.
2. מלאו את כתובת ה-Issuer ואת מזהה לקוח ואת סוד לקוח (אופציונלי) כשהספק הנפיק אחד. Control Center מגלה את נקודות הקצה מתוך מסמך הגילוי התקני של המנפיק — בלי תצורה נפרדת לכל ספק.
3. אצל הספק, רשמו את כתובת ההפניה https://<your-server>/oidc/callback עבור אותו לקוח.
4. אם הקבוצות שלכם נמצאות תחת claim אחר ולא groups, הגדירו את שם Claim של קבוצות; מפו קבוצות לתפקידים אם תרצו (SSO לעולם לא יכול להעניק את תפקיד הבעלים).
5. בחרו את מדיניות החברות (הוספה אוטומטית לכל סביבת עבודה, או דרישת הזמנה נפרדת לכל סביבת עבודה), הפעילו את שימוש ב-OpenID Connect לכניסה ולחצו על שמירת החיבור.
6. לחצו על בדיקת חיבור — השרת מביא את מסמך הגילוי של המנפיק ומאמת את נקודות הקצה שלו, כך שהודעת טוסט ירוקה אומרת שהכול עובד למעט סבב הדפדפן. כדי לבדוק גם את רישום הלקוח, השתמשו בבודק שלמטה.
7. בצעו התחברות: מסך ההתחברות האינטרנטי מציג כניסה עם OpenID Connect, או פתחו את https://<your-server>/oidc/login ישירות.

ה-claims (דוא“ל, שם, קבוצות) נקראים מנקודת הקצה לאסימונים של המנפיק דרך TLS על ידי השרת שלכם — הדפדפן לעולם אינו מספק אותם, ולכן אין מעורב כאן אימות חתימת JWT מקומי. יש לאפשר ללקוח לבקש את ה-scope‏ openid profile email, שהוא בדיוק מה ש-Control Center מבקש.

מכיוון שערוץ ה-TLS הזה הוא הדבר היחיד שמאמת את ה-claims, כתובת ה-Issuer חייבת להיות https — מנפיק בטקסט גלוי יאפשר לכל תוקף בדרך לזייף זהויות בהיקף מלא. http מתקבל עבור מנפיקי loopback‏ (localhost, 127.0.0.1, ::1) בלבד, לצורכי פיתוח מקומי.

לקוח ציבורי או לקוח חסוי?

צורת ברירת המחדל — והמומלצת — היא לקוח ציבורי המשתמש ב-authorization code flow עם PKCE (RFC 7636): מאמת הקוד החד-פעמי שהשרת מחזיק מחליף את הסוד, והחלפת האסימון כבולה לבקשת ההרשאה שהתחילה אותה. אין סוד שדולף, וקוד הרשאה שנגנב חסר תועלת בלי המאמת. יש ספקים שמכנים את סוג הלקוח הזה “SPA” או “native” כשיוצרים אותו.

אם הספק שלכם הנפיק במקום זאת לקוח חסוי, סמנו את הלקוח כציבורי אצל הספק (PKCE נשאר פעיל בכל מקרה), או הדביקו את סוד הלקוח בשדה סוד לקוח (אופציונלי) של החיבור. הסוד נשמר בקובץ הסודות של השרת בהרשאות 0600 (ולעולם לא במסד הנתונים), נשלח לנקודת הקצה לאסימונים כ-client_secret_post ולעולם אינו מוחזר דרך RPC; השארת השדה ריק בשמירה משמרת את הסוד השמור. כשהתחברות נכשלת בהחלפת האסימון, יומן השרת מציין את השגיאה של הספק עצמו (invalid_client כמעט תמיד אומר שהסוד חסר או שגוי).

נגישות

ההתחברות עצמה מתווכת על ידי הדפדפן: המנפיק רק מפנה את הדפדפן של המשתמש חזרה אל /oidc/callback, והשרת שלכם מבצע קריאת HTTPS יוצאת אל נקודת הקצה לאסימונים — אין צורך בחיבור נכנס מהמנפיק, כך ששרת מאחורי NAT עובד כל עוד הדפדפנים של המשתמשים יכולים להגיע אליו (LAN, VPN, Tailscale או מנהרה). הקצאת SCIM היא היוצא מן הכלל: ה-IdP פונה ישירות לשרת שלכם, מה שדורש מנהרה או כתובת ציבורית — ראו הקצאת משתמשים עם SCIM.

בדיקת התצורה מהדף הזה

הבודק שלמטה פועל בדפדפן שלכם. הוא מביא ישירות את מסמך הגילוי של המנפיק שלכם, כך שהאתר הזה לעולם אינו רואה אותו, ומחיל את כללי השרת: מנפיק https שתואם למסמך, נקודות קצה על אותו origin של המנפיק, PKCE S256 ושיטת אימות האסימון שסוג הלקוח שלכם צריך. עם מזהה לקוח וכתובת שרת, הוא יכול לפתוח התחברות ניסיון שמראה אם הלקוח וכתובת ההפניה שלו רשומים. הוא לעולם אינו מבקש את סוד הלקוח.

Runs in your browserYour browser fetches the discovery document straight from your issuer. Add a server address and it also asks that server which sign-in methods it offers. This site never receives what you type.

Issuer URL

Client ID (optional)

Needed for the test sign-in.

Groups claim (optional)

Client type

Public, PKCE only Confidential, has a client secret

Never paste the secret here. The check only needs to know whether one exists.

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

Paste the discovery document instead

Discovery document JSON

For providers that block other sites from reading it.

Check issuer