极狐GitLab对接OAuth2实现SSO

本文作者：极狐(GitLab) 高级解决方案架构师 武让

GitLab 是一个全球知名的一体化 DevOps 平台，很多人都通过私有化部署 GitLab 来进行源代码托管。极狐GitLab 是 GitLab 在中国的发行版，专门为中国程序员服务。可以一键式部署极狐GitLab。

企业内部一般都会有多个业务、应用系统，为建立统一的用户管理、身份配给和身份认证体系，实现一个账号登录所有系统，需要建立一套统一身份认证服务平台。
统一身份认证服务平台一般包含以下几个部分：

  • 账号管理：常见有AD/LDAP或者使用关系型数据库
  • 认证管理：常见有OAuth，SAML，CAS等
  • 授权管理
  • 审计监控

而单点登录(SingleSignOn，SSO)，不光可以实现一个账号登录所有系统，它通过用户的一次性登录认证，就可以访问多个应用。SSO一般会被包含在认证管理功能里。
极狐GitLab支持多种身份认证和授权方式，可以与企业的统一身份认证服务平台集成。包括对接AD/LDAP实现统一账号，对接SAML、CAS、Auth0、OAuth2等实现SSO。极狐GitLab对于AD/LDAP、SAML、CAS、Auth0的对接提供了详细的文档。而对接Generic OAuth2的文档较粗放，网络上也没有太多参考资料，所以整理了一篇极狐GitLab对接OAuth2的实践文章。

部署OAuth2 SSO服务

该步骤用于部署OAuth2 SSO的示例服务，已经有OAuth2 SSO服务的用户可以跳过，但可参考其中的内容。演示项目基于SpringSecurity+OAuth2实现单点登录SSO修改。

下载演示项目

演示的代码存放在极狐GitLab SaaS（JihuLab.com）上，地址为：https://jihulab.com/majinghe/open-source.git 将此 Repo 代码 clone 到本地。

配置

  • 编辑auth-server/src/main/java/com/example/authserver/config/AuthServerConfig.java 的redirectUris，添加或修改极狐GitLab的CallBack URL，相当于给OAuth2 SSO服务添加可信的重定向URL。
public void configure(final ClientDetailsServiceConfigurer clients) throws Exception {clients.inMemory().withClient("SampleClientId").secret(passwordEncoder.encode("secret")).authorizedGrantTypes("authorization_code").scopes("user_info").autoApprove(true).redirectUris("http://localhost:8301/login","http://localhost:8302/login",                        "http://example.gitlab.com/users/auth/oauth2_generic/callback");
// 必须进行redirectUris的配置，否则请求授权码时会报错：error="invalid_request", error_description="At least one redirect_uri must be registered with the client."
}
  • 用户名和密码默认配置在auth-server/src/main/java/com/example/authserver/config/SecurityConfig.java下
protected void configure(AuthenticationManagerBuilder auth) throws Exception {auth.inMemoryAuthentication().withUser("test@123.com").password(passwordEncoder().encode("123")).roles("USER");
}
  • OAuth2相关配置在client-a/target/classes/application.yml下
security:oauth2:client:client-id: SampleClientIdclient-secret: secretaccess-token-uri: http://localhost:8300/auth/oauth/tokenuser-authorization-uri: http://localhost:8300/auth/oauth/authorizeresource:user-info-uri: http://localhost:8300/auth/user/me

编译启动

# 项目根目录
mvn clean install
# auth-server http://localhost:8300
cd ./auth-server
mvn spring-boot:run
# client-a http://localhost:8301
cd ./client-a
mvn spring-boot:run
# client-b http://localhost:8302
cd ./client-b
mvn spring-boot:run

运行测试

  • 访问client-a localhost:8301

图片

  • 自动跳转到auth-server localhost:8300

图片

  • 登录用户

图片

  • 跳转回client-a localhost:8301，并完成登录认证

图片

获取用户信息数据结构

该步骤用于获取OAuth2的user-info-uri返回的数据结构，这里可以用Postman操作。

  • 认证方式选OAuth2.0，根据上一章节的配置填写OAuth2的相关参数，然后点Get New Access Token

图片

  • Postman会弹窗进入OAuth2 SSO服务的登录页面，输入用户账号和密码，确认是否认证成功

图片
图片

  • 发送请求，获取响应结果，确认必须是Json格式

图片

配置极狐GitLab

该步骤用于配置极狐GitLab与OAuth2对接并实现SSO。

极狐GitLab对接OAuth2的限制

  • 只能用于单点登录，不会提供任何OAuth Provider授予的其他访问权限(例如导入项目或用户等)
  • 只支持授权授予流程(最常见的客户端-服务器应用程序，如Rails应用程序)
  • 不能从多个URL获取用户信息
  • 不支持JSON以外的用户信息格式

修改/etc/gitlab/gitlab.rb，并gitlab-ctl reconfigure

gitlab_rails['omniauth_allow_single_sign_on'] = ['oauth2_generic']
# 使用OAuth登录的用户无需管理员审批，自动创建GitLab用户
gitlab_rails['omniauth_block_auto_created_users'] = false
gitlab_rails['omniauth_providers'] = [{"name" => "oauth2_generic",# 显示在GitLab登陆页面的SSO登录按钮的文字"label" => "SSO",# client_id"app_id" => "SampleClientId",# client_secret"app_secret" => "secret",args: {client_options: {# OAuth SSO 登录认证URLsite: "http://localhost:8300",# OAuth 各服务的URLuser_info_url: "/auth/user/me",authorize_url: "/auth/oauth/authorize",token_url: "/auth/oauth/token"},# 对应上一章节用户信息数据结构user_response_structure: {# root_path用于逐层解析用户信息的Json，直到包含用户信息的节点。以上一章节的响应结果为例，用户名username在Json的/userAuthentication/principal节点下，对应root_path配置如下root_path: ['userAuthentication','principal'],# id_path是相对于root_path节点下的某个属性，作为GitLab用户的唯一id。以上一章节的响应结果为例，由于principal节点只包含了username，所以以username作为id，对应id_path配置如下id_path: 'username',# attributes是将root_path节点下的各个属性映射为标准Omniauth的用户属性，具体见 https://github.com/omniauth/omniauth/wiki/auth-hash-schema#schema-10-and-later# 以上一章节的响应结果为例，由于principal节点只包含了username，且username是邮箱账号，所以可以将name和email都可以映射到usernameattributes: { name: 'username',email: 'username'}},strategy_class: "OmniAuth::Strategies::OAuth2Generic"}}
]

运行测试

  • 登录极狐GitLab，选择使用SSO登录

图片

  • 自动跳转到OAuth SSO服务

图片

  • 登录认证成功，返回极狐GitLab，并自动创建用户

图片

注意事项

  • OAuth2 返回的用户信息必须包含email信息，并映射到attributes的email。如本文示例中OAuth即便只返回username，但其内容是邮箱信息，且映射到了attributes的email，否则极狐GitLab会给出以下错误提示。

图片

  • 如果极狐GitLab中已经存在同名、同邮箱的用户，使用SSO登录会出现以下错误提示。

图片可参考OmniAuth[2]或参考下图将OAuth SSO关联到已存在的用户。

图片

号外号外！
极狐GitLab 正在推出DevSecOps 成熟度测评！链接：https://gitlab.cn/devsecops-assessment/ 测评非常全面并提供了可靠建议，即使不付费买产品，对自己想要落地 DevSecOps 的用户具有很高的参考意义！快来动手试试吧！

DevSecOps 成熟度评估.png

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/808865.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Python处理PDF：在PDF文档中插入页眉和页脚

Python处理PDF：在PDF文档中插入页眉和页脚

在处理篇幅较长、结构复杂的PDF文档时，页眉和页脚的设计与插入就显得尤为重要。它们不仅扮演着美化文档、提升专业度的角色，更承担了导航指引、信息标注的重要功能。 页眉通常用于展示文档的标题或章节名称，有助于读者在翻阅过程中迅速定位所…
阅读更多...
Java - 赋值运算符

Java - 赋值运算符

在这个实战中，我们将学习赋值运算符的使用方法。首先，我们将介绍简单赋值运算符的基本概念和语法格式。然后，我们将通过案例演示来加深对赋值运算符的理解。接下来，我们将对比Java和Python这两种不同的编程语言，探讨它…
阅读更多...
电能质量管理解决方案探讨 安科瑞 许敏

电能质量管理解决方案探讨 安科瑞 许敏

电能质量在线监测装置 本办法对发电企业（包括分布式电源）、电网企业、用电企业的电能质量管理均有明确要求，要求在发电企业并网点、电网企业非线性设施、用电企业公共连接点设置电能质量监测装置，这会促进市场对电能质量在线监测…
阅读更多...
理解 编译和链接

理解 编译和链接

目录 1. 翻译环境和运行环境 2. 翻译环境 2.1 预处理（预编译） 2.2 编译 2.2.1 词法分析： 2.2.2 语法分析 2.2.3 语义分析 2.3 汇编 2.4 链接 3. 运行环境 1. 翻译环境和运行环境 在ANSI C的任何一种实现中，存在两个不同…
阅读更多...
Linux开发--进程

Linux开发--进程

经典五问： 1.什么是程序？什么是进程？ 从是否运行进行判断: gcc xxx -o pro，磁盘中生成的pro文件，就是程序 进程是程序一次运行活动 程序是静态的概念，进程是动态的概念。 2.如何查看系统中的进程: 在l…
阅读更多...
二叉树练习day.6

二叉树练习day.6

654.最大二叉树 链接：. - 力扣（LeetCode） 题目描述： 给定一个不重复的整数数组 nums 。 最大二叉树 可以用下面的算法从 nums 递归地构建: 创建一个根节点，其值为 nums 中的最大值。递归地在最大值 左边 的 子数组前…
阅读更多...
MySQL——全文检索

MySQL——全文检索

不是所有的数据表都支持全文检索 MySQL支持多种底层数据库引擎，但是并非所有的引擎支持全文检索 ，目前最常用引擎是是MyISAM和InnoDB；前者支持全文检索，后者不支持。 booolean模式操作符 实验： 表productnotes &…
阅读更多...
线程池参数如何设置

线程池参数如何设置

线程池参数设置 hello丫，各位小伙伴们，好久不见了！ 下面，我们先来复习一下线程池的参数 1、线程池参数有哪些？ corePoolSize（核心线程数）：线程池中的常驻核心线程数。即使这些线程…
阅读更多...
Java与Kotlin语言的特色之处

Java与Kotlin语言的特色之处

一、Java特色之处： 1.多异常捕获 一个try块可能捕获到多个异常，可以使用多个catch块分别处理每个异常，也可以使用一个catch块处理多个异常（多个异常使用管道符|分隔）。 多个catch块代码： try{ }catch(IOExc…
阅读更多...
FMEA与各设计工具之间有哪些联系——SunFMEA软件

FMEA与各设计工具之间有哪些联系——SunFMEA软件

在设计领域，FMEA与其他设计工具之间存在着紧密的关系，这些工具共同支持设计师在产品开发的各个阶段做出明智的决策，今天SunFMEA软件和大家一起了解FMEA与各设计工具之间的联系。 首先，FMEA与CAD（计算机辅助设计&#…
阅读更多...
搭建PyTorch神经网络进行气温预测（手写+调包两种方法）(保证学会！)+找到神经网络的最优情况

搭建PyTorch神经网络进行气温预测（手写+调包两种方法）(保证学会！)+找到神经网络的最优情况

代码上有注释！！！！！！ 本篇主要包括三大部分： 第一部分：导入数据集导入第三方库数据集简单介绍与可视化数据集简单预处理 第二部分：手写神经网络代码实现气温预测&#…
阅读更多...
论文学习D2UNet：用于地震图像超分辨率重建的双解码器U-Net

论文学习D2UNet：用于地震图像超分辨率重建的双解码器U-Net

标题：：Dual Decoder U-Net for Seismic Image Super-Resolution Reconstruction ——D2UNet：用于地震图像超分辨率重建的双解码器U-Net 期刊：IEEE Transactions on Geoscience and Remote Sensing 摘要：从U-Net派生…
阅读更多...
linux中rpm包与deb包的区别及使用

linux中rpm包与deb包的区别及使用

文章目录 1. rpm与deb的区别2. deb软件包的格式和使用2.1 deb软件包命令遵行如下约定2.2 dpkg命令2.3 apt-命令 3. Unix和Linux的区别Reference 1. rpm与deb的区别 有的系统只支持使用rpm包安装，有的只支持deb包安装，混乱安装会导致系统问题。 关于rpm和…
阅读更多...
手拉手安装启动Kafka2.13

手拉手安装启动Kafka2.13

启动Kafka本地环境需Java 8以上 Kafka是一种高吞吐量的分布式发布订阅消息系统，它可以处理消费者在网站中的所有动作流数据。 这种动作（网页浏览，搜索和其他用户的行动）是在现代网络上的许多社会功能的一个关键因素。 Kafka启动…
阅读更多...
【ubuntu20.04】安装GeographicLib

【ubuntu20.04】安装GeographicLib

下载地址 GeographicLib: Installing GeographicLib 我们是ubuntu20.04 ，所以下载第一个 GeographicLib-2.3.tar.gz 接着跟着官方步骤安装，会出错！！！！马的 官方错误示例：tar xfpz Geographi…
阅读更多...
无重复字符串的最长子串

无重复字符串的最长子串

题目描述：给定一个字符串 s ，请你找出其中不含有重复字符的 最长子串的长度。 第一次提交记录 class Solution:def lengthOfLongestSubstring(self, s: str) -> int:if not s:return 0lookup set()left res 0for right in range(len(s)):while s…
阅读更多...
基于Springboot的箱包存储系统（有报告）。Javaee项目，springboot项目。

基于Springboot的箱包存储系统（有报告）。Javaee项目，springboot项目。

演示视频： 基于Springboot的箱包存储系统（有报告）。Javaee项目，springboot项目。 项目介绍： 采用M（model）V（view）C（controller）三层体系结构&…
阅读更多...
一辆新能源汽车需要多少颗传感器？

一辆新能源汽车需要多少颗传感器？

随着科技的发展和环保意识的日益提高，新能源汽车（包括纯电动汽车、混合动力汽车等）在全球范围内越来越受到欢迎。这些汽车不仅减少了碳排放，还推动了汽车产业的创新。然而，这些高科技汽车的背后，隐藏着许多…
阅读更多...
9.vector的使用介绍和模拟实现

9.vector的使用介绍和模拟实现

1.vector的介绍及使用 1.1 vector的介绍 vector的文档介绍 vector是表示可变大小数组的序列容器。 就像数组一样，vector也采用的连续存储空间来存储元素。也就是意味着可以采用下标对vector的元素进行访问，和数组一样高效。但是又不像数组&#xff0c…
阅读更多...
Another Redis Desktop Manager下载安装使用

Another Redis Desktop Manager下载安装使用

天行健，君子以自强不息；地势坤，君子以厚德载物。 每个人都有惰性，但不断学习是好好生活的根本，共勉！ 文章均为学习整理笔记，分享记录为主，如有错误请指正，共同学习进步。…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023