身份验证

流程

1. 在 Keycloak 中，创建一个新域，如 RHDH。

2. 添加新用户。

   用户名

   用户的用户名，例如 rhdhuser

   电子邮件

   用户的电子邮件地址。

   名

   用户的名字。

   姓

   用户的姓氏。

   已验证电子邮件

   切换到 上的 。

3. 点 Create。
4. 导航到 Credentials 选项卡。
5. 单击 设置密码。
6. 输入用户帐户的 Password，并将 Temporary 切换为 Off。

7. 创建一个新的客户端 ID，如 RHDH。

   客户端身份验证

   切换到 上的 。

   有效的重定向 URI

   设置为 OIDC 处理程序 URL，例如 https://<RHDH_URL>/api/auth/oidc/handler/frame。

8. 导航到 Credentials 选项卡，再复制 Client secret。
9. 在下一步中保存客户端 ID 和客户端 Secret。

10. 在 Developer Hub 中，在 Developer Hub secret 中添加 Keycloak 凭证。

    1. 编辑 Developer Hub secret，如 secrets-rhdh。

    2. 添加以下键/值对：

       AUTH_KEYCLOAK_CLIENT_ID

       输入您在 Keycloak 中生成的客户端 ID，如 RHDH。

       AUTH_KEYCLOAK_CLIENT_SECRET

       输入您在 Keycloak 中生成的 Client Secret。

11. 在 Developer Hub 自定义配置中设置 OIDC 身份验证供应商。

    1. 编辑自定义 Developer Hub ConfigMap，如 app-config-rhdh。

    2. 在 app-config-rhdh.yaml 内容中，在 root auth 配置下添加 oidc 供应商配置，并为 sign-in 启用 oidc 供应商：

       app-config-rhdh.yaml fragment

       auth:
         environment: production
         providers:
           oidc:
             production:
             clientId: ${AUTH_KEYCLOAK_CLIENT_ID}
             clientSecret: ${AUTH_KEYCLOAK_CLIENT_SECRET}
             metadataUrl: ${KEYCLOAK_BASE_URL}/auth/realms/${KEYCLOAK_REALM}
             prompt: ${KEYCLOAK_PROMPT} # recommended to use auto
              Uncomment for additional configuration options #callbackUrl: ${KEYCLOAK_CALLBACK_URL} #tokenEndpointAuthMethod: ${KEYCLOAK_TOKEN_ENDPOINT_METHOD} #tokenSignedResponseAlg: ${KEYCLOAK_SIGNED_RESPONSE_ALG} #scope: ${KEYCLOAK_SCOPE}  If you are using the keycloak-backend plugin, use the preferredUsernameMatchingUserEntityName resolver to avoid a login error.
             signIn:
               resolvers:
                 - resolver: preferredUsernameMatchingUserEntityName
       signInPage: oidc

验证

1. 重启 backstage-developer-hub 应用程序以应用更改。
2. 您的 Developer Hub 注册页面 使用 OIDC 显示 Sign in。

流程

1. 在 Keycloak 中，将有效的重定向 URI 更新至 https://<rhdh_url>/api/auth/oidc/handler/frame。确保将 < rhdh_url&gt; 替换为您的 Developer Hub 应用程序 URL，如 my.rhdh.example.com。
2. 将 app-config.yaml 文件的 auth 部分中的 oauth2Proxy 配置值替换为 oidc 配置值。

3. 将 signInPage 配置值从 oauth2Proxy 更新至 oidc。

   以下示例显示了在将身份验证供应商迁移到 oid 之前 oauth2Proxy 的 auth.providers 和 signInPage 配置：

   auth:
     environment: production
     session:
       secret: ${SESSION_SECRET}
     providers:
       oauth2Proxy: {}
   signInPage: oauth2Proxy

   以下示例显示了在将身份验证供应商迁移到 oidc 后 auth.providers 和 signInPage 配置：

   auth:
     environment: production
     session:
       secret: ${SESSION_SECRET}
     providers:
       oidc:
         production:
           metadataUrl: ${KEYCLOAK_METADATA_URL}
           clientId: ${KEYCLOAK_CLIENT_ID}
           clientSecret: ${KEYCLOAK_CLIENT_SECRET}
           prompt: ${KEYCLOAK_PROMPT} # recommended to use auto
   signInPage: oidc

4. 删除 OAuth2 Proxy sidecar 容器，并更新 Helm Chart 的 values.yaml 文件的 upstream.service 部分，如下所示：

   • service.ports.backend:7007

   • service.ports.targetPort:backend

     以下示例显示了在将身份验证供应商迁移到 oidc 之前 oauth2Proxy 的 服务配置 ：

     service:
       ports:
         name: http-backend
         backend: 4180
         targetPort: oauth2Proxy

     以下示例显示了将身份验证供应商迁移到 oidc 后的 服务配置 ：

     service:
       ports:
         name: http-backend
         backend: 7007
         targetPort: backend

5. 升级 Developer Hub Helm Chart。