Sambungkan pembekal OpenID Connect

Gunakan panduan ini apabila pembekal identiti anda menggunakan OpenID Connect dan bukan SAML. Mana-mana penerbit yang diperakui OIDC boleh digunakan — Pocket ID, Keycloak, Auth0, Zitadel, Google Workspace dan sebagainya semuanya mengikut langkah yang sama; hanya tempat pembekal anda memaparkan nilai itu berbeza.

Prasyarat

• pembekal OIDC tempat anda boleh mencipta klien — catat id klien dan URL penerbitnya (asas yang menempatkan dokumen .well-known/openid-configuration), serta rahsia kliennya apabila klien itu jenis sulit (klien PKCE awam tidak mempunyainya),
• pelayan Control Center yang anda tadbir (pemilik pelayan).

Langkah

1. Buka Tetapan → Pelayan → Daftar masuk tunggal dan tukar kepada OpenID Connect.
2. Isi URL penerbit, Client ID dan Rahsia klien (pilihan) apabila pembekal mengeluarkannya. Control Center menemui titik akhir daripada dokumen penemuan standard penerbit — tiada konfigurasi mengikut pembekal.
3. Di pihak pembekal, daftarkan ubah hala https://<your-server>/oidc/callback pada klien itu.
4. Jika kumpulan anda berada di bawah tuntutan selain groups, tetapkan nama Tuntutan kumpulan; petakan kumpulan kepada peranan jika anda mahu (SSO tidak pernah boleh memberikan peranan pemilik).
5. Pilih polisi keahlian (tambah automatik ke setiap ruang kerja, atau wajibkan jemputan bagi setiap ruang kerja), hidupkan Gunakan OpenID Connect untuk log masuk dan tekan Simpan sambungan.
6. Tekan Uji sambungan — pelayan mengambil dokumen penemuan penerbit dan mengesahkan titik akhirnya, jadi toast hijau bermakna semuanya berfungsi kecuali perjalanan pergi-balik penyemak imbas. Untuk menyemak pendaftaran klien juga, gunakan pemeriksa di bawah.
7. Lakukan satu log masuk: skrin sambungan web memaparkan Log masuk dengan OpenID Connect, atau buka https://<your-server>/oidc/login secara terus.

Tuntutan (e-mel, nama, kumpulan) dibaca daripada titik akhir token penerbit melalui TLS oleh pelayan anda — penyemak imbas tidak pernah membekalkannya, jadi tiada pengesahan tandatangan JWT setempat terlibat. Klien harus dibenarkan meminta skop openid profile email, iaitu tepat apa yang diminta oleh Control Center.

Oleh sebab saluran TLS itu satu-satunya perkara yang mengesahkan tuntutan, URL penerbit mesti https — penerbit teks biasa akan membenarkan mana-mana penyerang dalam laluan memalsukan identiti secara pukal. http diterima untuk penerbit loopback (localhost, 127.0.0.1, ::1) sahaja, untuk pembangunan setempat.

Klien awam atau klien sulit?

Bentuk lalai — dan disyorkan — ialah klien awam yang menggunakan aliran kod kebenaran dengan PKCE (RFC 7636): pengesah kod sekali guna yang dipegang oleh pelayan menggantikan rahsia itu dan pertukaran token terikat pada permintaan kebenaran yang memulakannya. Tiada rahsia untuk bocor dan kod kebenaran yang dicuri tidak berguna tanpa pengesah itu. Sesetengah pembekal menamakan jenis klien ini “SPA” atau “native” semasa anda menciptanya.

Jika pembekal anda mengeluarkan klien sulit sebaliknya, sama ada tandakan klien itu sebagai awam di pihak pembekal (PKCE kekal hidup dalam kedua-dua kes), atau tampalkan rahsia klien ke dalam medan Rahsia klien (pilihan) sambungan itu. Rahsia itu disimpan dalam fail rahsia 0600 pelayan (tidak pernah dalam pangkalan data), dihantar ke titik akhir token sebagai client_secret_post dan tidak pernah dikembalikan melalui RPC; membiarkan medan itu kosong semasa menyimpan mengekalkan rahsia yang tersimpan. Apabila log masuk gagal pada pertukaran token, log pelayan menamakan ralat pembekal itu sendiri (invalid_client hampir selalu bermakna rahsia itu hilang atau salah).

Kebolehcapaian

Log masuk itu sendiri diperantarakan penyemak imbas: penerbit hanya mengubah hala penyemak imbas pengguna kembali ke /oidc/callback dan pelayan anda membuat panggilan HTTPS keluar ke titik akhir token — tiada sambungan masuk daripada penerbit diperlukan, jadi pelayan di belakang NAT berfungsi selagi penyemak imbas pengguna dapat mencapainya (LAN, VPN, Tailscale atau terowong). Peruntukan SCIM ialah pengecualian: IdP memanggil pelayan anda secara terus, yang memerlukan terowong atau URL awam — lihat peruntukkan pengguna dengan SCIM.

Semak konfigurasi anda dari halaman ini

Pemeriksa di bawah berjalan dalam penyemak imbas anda. Ia mengambil dokumen penemuan penerbit anda secara terus, jadi tapak ini tidak pernah melihatnya, dan menggunakan peraturan pelayan: penerbit https yang sepadan dengan dokumen itu, titik akhir pada asalan penerbit itu sendiri, PKCE S256 dan kaedah pengesahan token yang diperlukan oleh jenis klien anda. Dengan ID klien dan alamat pelayan, ia boleh membuka log masuk ujian yang menunjukkan sama ada klien itu dan URI ubah halanya didaftarkan. Ia tidak pernah meminta rahsia klien.

Runs in your browserYour browser fetches the discovery document straight from your issuer. Add a server address and it also asks that server which sign-in methods it offers. This site never receives what you type.

Issuer URL

Client ID (optional)

Needed for the test sign-in.

Groups claim (optional)

Client type

Public, PKCE only Confidential, has a client secret

Never paste the secret here. The check only needs to know whether one exists.

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

Paste the discovery document instead

Discovery document JSON

For providers that block other sites from reading it.

Check issuer