Hubungkan penyedia OpenID Connect

Gunakan panduan ini ketika penyedia identitas Anda berbicara OpenID Connect, bukan SAML. Setiap issuer bersertifikasi OIDC dapat dipakai — Pocket ID, Keycloak, Auth0, Zitadel, Google Workspace, dan sejenisnya mengikuti langkah yang sama; yang berbeda hanyalah tempat penyedia Anda menampilkan nilai-nilainya.

Prasyarat

• penyedia OIDC tempat Anda dapat membuat klien — catat client id dan URL issuer-nya (basis tempat dokumen .well-known/openid-configuration berada), plus client secret-nya ketika klien tersebut berjenis rahasia (klien PKCE publik tidak punya client secret),
• server Control Center yang Anda kelola (sebagai pemilik server).

Langkah-langkah

1. Buka Pengaturan → Server → Single sign-on lalu beralih ke OpenID Connect.
2. Isi URL issuer, Client ID, dan Client secret (opsional) ketika penyedia menerbitkannya. Control Center menemukan endpoint dari dokumen penemuan standar milik issuer — tanpa konfigurasi per penyedia.
3. Di penyedia, daftarkan URI pengalihan https://<your-server>/oidc/callback pada klien tersebut.
4. Jika grup Anda berada di bawah claim selain groups, tetapkan nama Claim grup; petakan grup ke peran jika Anda mau (SSO tidak akan pernah dapat memberikan peran pemilik).
5. Pilih kebijakan keanggotaan (tambahkan otomatis ke setiap ruang kerja, atau wajibkan undangan per ruang kerja), aktifkan Gunakan OpenID Connect untuk masuk, lalu tekan Simpan koneksi.
6. Tekan Uji koneksi — server mengambil dokumen penemuan milik issuer dan memastikan endpoint-nya, jadi toast hijau berarti semuanya selain perjalanan bolak-balik browser sudah berfungsi. Untuk memeriksa pendaftaran klien juga, gunakan pemeriksa di bawah.
7. Lakukan proses masuk: layar koneksi web menampilkan Masuk dengan OpenID Connect, atau buka https://<your-server>/oidc/login secara langsung.

Claim (email, nama, grup) dibaca dari endpoint token milik issuer melalui TLS oleh server Anda — browser tidak pernah memasoknya, sehingga tidak ada verifikasi tanda tangan JWT lokal yang terlibat. Klien harus diizinkan meminta scope openid profile email, yang persis itulah yang diminta Control Center.

Karena kanal TLS itulah satu-satunya yang mengautentikasi claim, URL issuer harus https — issuer plaintext akan memungkinkan penyerang mana pun di jalur memalsukan identitas secara massal. http hanya diterima untuk issuer loopback (localhost, 127.0.0.1, ::1), untuk pengembangan lokal.

Klien publik atau klien rahasia?

Bentuk default — sekaligus yang direkomendasikan — adalah klien publik yang memakai alur authorization code dengan PKCE (RFC 7636): verifier kode sekali pakai yang dipegang server menggantikan secret, dan pertukaran token terikat pada permintaan otorisasi yang memulainya. Tidak ada secret yang bisa bocor, dan authorization code yang dicuri tidak berguna tanpa verifier. Beberapa penyedia menyebut jenis klien ini “SPA” atau “native” saat Anda membuatnya.

Jika penyedia Anda justru menerbitkan klien rahasia, tandai klien itu sebagai publik di penyedia (PKCE tetap aktif apa pun pilihannya), atau tempelkan client secret ke bidang Client secret (opsional) pada koneksi. Secret disimpan di berkas rahasia server dengan izin 0600 (tidak pernah di database), dikirim ke endpoint token sebagai client_secret_post dan tidak pernah dikembalikan melalui RPC; membiarkan bidang itu kosong saat menyimpan akan mempertahankan secret yang tersimpan. Ketika login gagal pada pertukaran token, log server menyebutkan error dari penyedia itu sendiri (invalid_client hampir selalu berarti secret-nya hilang atau salah).

Keterjangkauan

Login itu sendiri dimediasi browser: issuer hanya mengalihkan browser pengguna kembali ke /oidc/callback dan server Anda melakukan panggilan HTTPS keluar ke endpoint token — tidak diperlukan koneksi masuk dari issuer, sehingga server di belakang NAT tetap berfungsi asalkan browser pengguna dapat menjangkaunya (LAN, VPN, Tailscale, atau terowongan). Penyediaan SCIM adalah pengecualiannya: IdP memanggil server Anda secara langsung, yang memerlukan terowongan atau URL publik — lihat Provision pengguna dengan SCIM.

Periksa konfigurasi Anda dari halaman ini

Pemeriksa di bawah ini berjalan di browser Anda. Ia mengambil dokumen penemuan milik issuer Anda secara langsung, sehingga situs ini tidak pernah melihatnya, lalu menerapkan aturan server: issuer https yang cocok dengan dokumen tersebut, endpoint pada origin issuer itu sendiri, PKCE S256, dan metode autentikasi token yang dibutuhkan jenis klien Anda. Dengan client ID dan alamat server, ia dapat membuka percobaan login yang menunjukkan apakah klien beserta URI pengalihannya sudah terdaftar. Ia tidak pernah meminta client secret.

Runs in your browserYour browser fetches the discovery document straight from your issuer. Add a server address and it also asks that server which sign-in methods it offers. This site never receives what you type.

Issuer URL

Client ID (optional)

Needed for the test sign-in.

Groups claim (optional)

Client type

Public, PKCE only Confidential, has a client secret

Never paste the secret here. The check only needs to know whether one exists.

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

Paste the discovery document instead

Discovery document JSON

For providers that block other sites from reading it.

Check issuer