身份验证

验证

1. 进入 Developer Hub 登录页面。
2. 要使用 Guest 用户帐户登录，请单击 Guest 标题中的 Enter。
3. 在 Developer Hub Settings 页面中，您的配置集名称为 Guest。
4. 您可以使用 Developer Hub 功能。

验证

1. 进入 Developer Hub 登录页面。
2. 要使用 Guest 用户帐户登录，请单击 Guest 标题中的 Enter。
3. 在 Developer Hub Settings 页面中，您的配置集名称为 Guest。
4. 您可以使用 Developer Hub 功能。

流程

1. 要允许 Developer Hub 使用 RHBK 进行身份验证，请完成 RHBK 中的步骤，创建 realm 和用户，并保护第一个应用程序:

   1. 使用现有域，或使用不同的名称（如 < my_ realm > ）创建一个 域。为下一步保存值：

      • RHBK 域基本 URL，例如： < your_rhbk_URL> /realms/ <your_realm>。

   2. 要在 RHBK 中注册您的 Developer Hub，请在创建域中注册 第一个应用程序，使用以下内容保护第一个应用程序 ：

      1. 客户端 ID ：不同的客户端 ID，如 < RHDH>。
      2. 有效的重定向 URI ：设置为 OIDC 处理程序 URL: https:// <RHDH_URL&gt; /api/auth/oidc/handler/frame.
      3. 导航到 Credentials 选项卡，再复制 Client secret。

      4. 保存下一步的值：

         • 客户端 ID
         • Client Secret
   3. 要准备验证步骤，请在同一域中获取现有用户 或创建用户的凭证 信息。保存验证步骤的用户凭证信息。

2. 要将 RHSSO 凭证添加到 Developer Hub 中，请将以下键/值对添加到 Developer Hub secret 中：

   AUTH_OIDC_CLIENT_ID

   输入保存 的客户端 ID。

   AUTH_OIDC_CLIENT_SECRET

   输入保存 的客户端 Secret。

   AUTH_OIDC_METADATA_URL

   输入保存的 RHBK 域基础 URL。

3. 要在 Developer Hub 自定义配置中设置 RHBK 身份验证供应商，请编辑自定义 Developer Hub ConfigMap，如 app-config-rhdh，并将以下行添加到 app-config.yaml 内容：

   app-config.yaml 片段带有强制字段，以启用 RHBK 身份验证

   auth:
     environment: production
     providers:
       oidc:
         production:
           metadataUrl: ${AUTH_OIDC_METADATA_URL}
           clientId: ${AUTH_OIDC_CLIENT_ID}
           clientSecret: ${AUTH_OIDC_CLIENT_SECRET}
           prompt: auto
   signInPage: oidc

   Copy to Clipboard Toggle word wrap

   环境：production

   将环境标记为 production，以在 Developer Hub 主页中隐藏 Guest 登录。

   metadataUrl, clientId, clientSecret

   使用您的 secret 配置 OIDC 供应商。

   sigInPage: oidc

   将 OIDC 供应商作为默认登录供应商启用。

   提示： auto

   要允许身份提供程序自动决定是否提示输入凭证，或者在存在活跃的 RHSSO 会话时绕过登录重定向。

   注意

   如果没有设置 prompt: auto，则身份提供程序默认为 prompt: none，这假设您已经登录，并在没有活跃会话的情况下拒绝登录请求。

   callbackUrl

   RHBK 回调 URL。

1. 在导航菜单的 Configure 部分中，单击 Realm Settings。
2. 从 Realm Settings 页面，单击 Tokens 选项卡。
3. 在 Tokens 选项卡的 Refresh tokens 部分中，将 Revoke Refresh Token 切换到 Enabled 位置。

验证

1. 进入 Developer Hub 登录页面。
2. 您的 Developer Hub 签名页面显示 使用 OIDC 的 Sign in，并且 guest 用户登录被禁用。
3. 使用保存 的用户名和密码 值使用 OIDC 登录。

验证

1. 检查控制台日志，以验证同步是否已完成。

   成功同步示例：

   {"class":"KeycloakOrgEntityProvider","level":"info","message":"Read 3 Keycloak users and 2 Keycloak groups in 1.5 seconds. Committing...","plugin":"catalog","service":"backstage","taskId":"KeycloakOrgEntityProvider:default:refresh","taskInstanceId":"bf0467ff-8ac4-4702-911c-380270e44dea","timestamp":"2024-09-25 13:58:04"}
   {"class":"KeycloakOrgEntityProvider","level":"info","message":"Committed 3 Keycloak users and 2 Keycloak groups in 0.0 seconds.","plugin":"catalog","service":"backstage","taskId":"KeycloakOrgEntityProvider:default:refresh","taskInstanceId":"bf0467ff-8ac4-4702-911c-380270e44dea","timestamp":"2024-09-25 13:58:04"}

   Copy to Clipboard Toggle word wrap

2. 使用 RHBK 帐户登录。

流程

1. 使用 yarn 新命令 创建一个新的 backend 模块。

2. 将自定义用户和组转换器添加到 keycloakTransformerExtensionPoint 中。

   以下是如何定义 backend 模块的示例：

   plugins/<module-name>/src/module.ts

   import {
     GroupTransformer,
     keycloakTransformerExtensionPoint,
     UserTransformer,
   } from '@backstage-community/plugin-catalog-backend-module-keycloak';
   
   const customGroupTransformer: GroupTransformer = async (
     entity, // entity output from default parser
     realm, // Keycloak realm name
     groups, // Keycloak group representation
   ) => {
     /* apply transformations */
     return entity;
   };
   const customUserTransformer: UserTransformer = async (
     entity, // entity output from default parser
     user, // Keycloak user representation
     realm, // Keycloak realm name
     groups, // Keycloak group representation
   ) => {
     /* apply transformations */
     return entity;
   };
   
   export const keycloakBackendModuleTransformer = createBackendModule({
     pluginId: 'catalog',
     moduleId: 'keycloak-transformer',
     register(reg) {
       reg.registerInit({
         deps: {
           keycloak: keycloakTransformerExtensionPoint,
         },
         async init({ keycloak }) {
           keycloak.setUserTransformer(customUserTransformer);
           keycloak.setGroupTransformer(customGroupTransformer);
           /* highlight-add-end */
         },
       });
     },
   });

   Copy to Clipboard Toggle word wrap

   重要

   模块的 pluginId 必须设置为 catalog 以匹配 keycloak-backend 的 pluginId ；否则，模块无法初始化。

3. 将此新后端模块安装到 Developer Hub 后端中。

   backend.add(import(backstage-plugin-catalog-backend-module-keycloak-transformer))

   Copy to Clipboard Toggle word wrap

流程

1. 要允许 Developer Hub 使用 GitHub 进行身份验证，请创建一个 GitHub 应用程序。选择 GitHub 应用程序而不是使用精细的权限，可以更好地控制应用程序可访问的存储库，并使用简短令牌。

   1. 使用以下配置注册 GitHub 应用程序：

      • GitHub App name ：输入用于标识 GitHub 应用程序的唯一名称，如 < Red Hat Developer Hub>- <GUID>。
      • 主页 URL: 您的 Developer Hub URL: https:// <my_developer_hub_url>.
      • 授权回调 URL ：您的 Developer Hub 身份验证后端 URL: https:// <my_developer_hub_url> /api/auth/github/handler/frame.
      • Webhook URL: 您的 Developer Hub URL: https:// <my_developer_hub_url>.
      • Webhook secret ：提供强大的 secret。

      • 存储库权限 ：

        • 启用对以下的只读访问权限 ：

          • 管理
          • 提交状态
          • 内容
          • Dependabot 警报
          • 部署
          • 拉取请求

          • Webhook

            提示

            如果您计划使用 GitHub API 进行更改，请确保启用 Read 和 write 权限，而不是 只读。

        • 根据您的需要切换其他权限。

      • 机构权限 ：

        • 启用对 成员的只读访问权限 。
      • 对于 何处可以安装此 GitHub 应用程序？，请选择 only on this account。
   2. 在 General → Clients secrets 部分中，点 Generate a new client secret。
   3. 在 General → Private key 部分中，点 Generate a private key。
   4. 在 Install App 选项卡中，选择要安装 GitHub App 的帐户。

   5. 为下一步保存以下值：

      • App ID
      • 客户端 ID
      • 客户端 secret
      • 私钥
      • Webhook secret

2. 要将 GitHub 凭证添加到 Developer Hub 中，请将以下键/值对添加到 Developer Hub secret 中：

   AUTH_GITHUB_APP_ID

   输入保存 的应用程序 ID。

   AUTH_GITHUB_CLIENT_ID

   输入保存 的客户端 ID。

   GITHUB_ORGANIZATION

   输入您的 GitHub 机构名称，如 ' <your_github_organization_name>'。

   GITHUB_ORG_URL

   输入 $GITHUB_HOST_DOMAIN/$GITHUB_ORGANIZATION。

   GITHUB_CLIENT_SECRET

   输入保存 的客户端 Secret。

   GITHUB_PRIVATE_KEY_FILE

   输入保存 的私钥。

   GITHUB_WEBHOOK_URL

   输入您的 Developer Hub URL: https:// <my_developer_hub_url>。

   GITHUB_WEBHOOK_SECRET

   输入保存的 Webhook secret。

3. 要设置 GitHub 身份验证供应商并在 Developer Hub 自定义配置中启用与 GitHub API 集成，请编辑自定义 Developer Hub 配置映射，如 my-rhdh-app-config，并将以下行添加到 app-config.yaml 文件内容中：

   app-config-rhdh.yaml 片段带有强制字段，以启用使用 GitHub 进行身份验证

   auth:
     environment: production
     providers:
       github:
         production:
           clientId: ${AUTH_GITHUB_CLIENT_ID}
           clientSecret: ${AUTH_GITHUB_CLIENT_SECRET}
   integrations:
     github:
       - host: ${GITHUB_HOST_DOMAIN}
         apps:
           - appId: ${AUTH_GITHUB_APP_ID}
             clientId: ${AUTH_GITHUB_CLIENT_ID}
             clientSecret: ${GITHUB_CLIENT_SECRET}
             webhookUrl: ${GITHUB_WEBHOOK_URL}
             webhookSecret: ${GITHUB_WEBHOOK_SECRET}
             privateKey: |
               ${GITHUB_PRIVATE_KEY_FILE}
   signInPage: github

   Copy to Clipboard Toggle word wrap

   环境：production

   将环境标记为 production，以在 Developer Hub 主页中隐藏 Guest 登录。

   clientId,clientSecret,host,appId,webhookUrl,webhookSecret,privateKey

   使用您在 GitHub 中创建并配置了 OpenShift 作为 secret 的 Developer Hub 应用程序信息。

   sigInPage: github

   将 GitHub 提供程序启用为默认登录提供程序。

   可选： 考虑添加以下可选字段：

   dangerouslyAllowSignInWithoutUserInCatalog: true

   要启用身份验证，而无需在 Developer Hub 软件目录中置备用户。

   警告

   使用 dangerouslyAllowSignInWithoutUserInCatalog 探索 Developer Hub 功能，但不要在生产环境中使用它。

   带有可选字段的 app-config-rhdh.yaml 片段来允许软件目录中不存在验证用户

   auth:
     environment: production
     providers:
       github:
         production:
           clientId: ${AUTH_GITHUB_CLIENT_ID}
           clientSecret: ${AUTH_GITHUB_CLIENT_SECRET}
   integrations:
     github:
       - host: ${GITHUB_HOST_DOMAIN}
         apps:
           - appId: ${AUTH_GITHUB_APP_ID}
             clientId: ${AUTH_GITHUB_CLIENT_ID}
             clientSecret: ${GITHUB_CLIENT_SECRET}
             webhookUrl: ${GITHUB_WEBHOOK_URL}
             webhookSecret: ${GITHUB_WEBHOOK_SECRET}
             privateKey: |
               ${GITHUB_PRIVATE_KEY_FILE}
   signInPage: github
   dangerouslyAllowSignInWithoutUserInCatalog: true

   Copy to Clipboard Toggle word wrap

   callbackUrl

   GitHub 在启动 OAuth 流时使用的回调 URL，例如： < your_intermediate_service_url/handler >。当 Developer Hub 不是直接接收器时定义它，如当您为多个 Developer Hub 实例使用一个 OAuth 应用程序时。

   带有可选 enterpriseInstanceUrl 字段的 app-config.yaml 文件片段

   auth:
     providers:
       github:
         production:
           callbackUrl: <your_intermediate_service_url/handler>

   Copy to Clipboard Toggle word wrap

   提示

   要启用与不同身份验证供应商的 GitHub 集成，请完成以下配置：

   • 将 GitHub 提供程序添加到现有 auth 部分。
   • 保留您的身份验证提供程序配置中 signInPage 部分。

   app-config.yaml 文件片段与强制字段启用 GitHub 集成并使用不同的身份验证供应商

   auth:
     environment: production
     providers:
       github:
         production:
           clientId: ${AUTH_GITHUB_CLIENT_ID}
           clientSecret: ${AUTH_GITHUB_CLIENT_SECRET}
       <your_other_authentication_providers_configuration>
   integrations:
     github:
       - host: ${GITHUB_HOST_DOMAIN}
         apps:
           - appId: ${AUTH_GITHUB_APP_ID}
             clientId: ${AUTH_GITHUB_CLIENT_ID}
             clientSecret: ${GITHUB_CLIENT_SECRET}
             webhookUrl: ${GITHUB_WEBHOOK_URL}
             webhookSecret: ${GITHUB_WEBHOOK_SECRET}
             privateKey: |
               ${GITHUB_PRIVATE_KEY_FILE}
   signInPage: <your_main_authentication_provider>

   Copy to Clipboard Toggle word wrap

验证

1. 进入 Developer Hub 登录页面。
2. 您的 Developer Hub 登录页面显示 使用 GitHub 的 Sign in，并且 Guest 用户登录被禁用。
3. 使用 GitHub 登录。

验证

1. 检查控制台日志，以验证同步是否已完成。

   成功同步示例：

   {"class":"GithubMultiOrgEntityProvider","level":"info","message":"Reading GitHub users and teams for org: rhdh-dast","plugin":"catalog","service":"backstage","target":"https://github.com","taskId":"GithubMultiOrgEntityProvider:production:refresh","taskInstanceId":"801b3c6c-167f-473b-b43e-e0b4b780c384","timestamp":"2024-09-09 23:55:58"}
   {"class":"GithubMultiOrgEntityProvider","level":"info","message":"Read 7 GitHub users and 2 GitHub groups in 0.4 seconds. Committing...","plugin":"catalog","service":"backstage","target":"https://github.com","taskId":"GithubMultiOrgEntityProvider:production:refresh","taskInstanceId":"801b3c6c-167f-473b-b43e-e0b4b780c384","timestamp":"2024-09-09 23:55:59"}

   Copy to Clipboard Toggle word wrap

2. 使用 GitHub 帐户登录。

先决条件

1. 您有在 Microsoft Azure 中注册应用程序的权限。

   • 您 添加了自定义 Developer Hub 应用程序配置，并有足够的权限来修改它。

流程

1. 要允许 Developer Hub 与 Microsoft Azure 进行身份验证，请在 Microsoft Azure 中创建 OAuth 应用程序。

   1. 在 Azure 门户中 ， 使用 配置创建新注册 ：

      Name

      Azure 中的应用程序名称，如 < My Developer Hub>。

   2. 在 Home > App registrations > <My Developer Hub > > Manage &gt ; Authentication 页面中，使用以下配置添加平台 ：

      重定向 URI

      输入 Developer Hub 中设置的后端身份验证 URI： https:// <my_developer_hub_url&gt; /api/auth/microsoft/handler/frame

      front-channel logout URL

      留空。

      隐式授权和混合流

      保留所有复选框都未清除。

   3. 在 Home > App registrations &gt ; <My Developer Hub > > Manage &gt ; API permissions 页面中，添加 Permission，然后为 Microsoft Graph API 添加以下 委派权限 ：

      • email
      • offline_access
      • openid
      • 配置集
      • user.Read
      • 您在本节和 app-config.yaml Developer Hub 配置文件中定义的 Microsoft Graph API 的可选自定义范围。

1. 在 Home > App registrations > < My Developer Hub > > Manage > Certificates & Secrets 页的 Client secrets 选项卡中，创建一个 New client secret。

2. 保存下一步：

   • 目录（租户）ID
   • 应用程序（客户端）ID

   • 应用程序（客户端）secret

     1. 要将 Microsoft Azure 凭证添加到 Developer Hub，请将以下键/值对添加到 Developer Hub secret 中：

        AUTH_AZURE_TENANT_ID

        输入您保存的目录 （租户）ID。

        AUTH_AZURE_CLIENT_ID

        输入您保存的 应用程序（客户端）ID。

        AUTH_AZURE_CLIENT_SECRET

        输入您保存的 应用程序（客户端）secret。

     2. 在 app-config.yaml 文件中设置 Microsoft Azure 身份验证供应商：

        app-config.yaml 文件片段

        auth:
          environment: production
          providers:
            microsoft:
              production:
                clientId: ${AUTH_AZURE_CLIENT_ID}
                clientSecret: ${AUTH_AZURE_CLIENT_SECRET}
                tenantId: ${AUTH_AZURE_TENANT_ID}
        signInPage: microsoft

        Copy to Clipboard Toggle word wrap

        环境：production

        将环境标记为 production，以在 Developer Hub 主页中隐藏 Guest 登录。

        clientId,clientSecret 和 tenantId

        使用您在 Microsoft Azure 中创建并配置了 OpenShift 作为 secret 的 Developer Hub 应用程序信息。

        signInPage: microsoft

        启用 Microsoft Azure 供应商作为默认登录供应商。

验证

1. 检查控制台日志，以验证同步是否已完成。

   成功同步示例：

   backend:start: {"class":"MicrosoftGraphOrgEntityProvider$1","level":"info","message":"Read 1 msgraph users and 1 msgraph groups in 2.2 seconds. Committing...","plugin":"catalog","service":"backstage","taskId":"MicrosoftGraphOrgEntityProvider:default:refresh","taskInstanceId":"88a67ce1-c466-41a4-9760-825e16b946be","timestamp":"2024-06-26 12:23:42"}
   backend:start: {"class":"MicrosoftGraphOrgEntityProvider$1","level":"info","message":"Committed 1 msgraph users and 1 msgraph groups in 0.0 seconds.","plugin":"catalog","service":"backstage","taskId":"MicrosoftGraphOrgEntityProvider:default:refresh","taskInstanceId":"88a67ce1-c466-41a4-9760-825e16b946be","timestamp":"2024-06-26 12:23:42"}

   Copy to Clipboard Toggle word wrap

2. 使用 Microsoft Azure 帐户登录。