Red Hat Developer Hub 中的身份验证

验证

1. 进入 Developer Hub 登录页面。
2. 要使用 Guest 用户帐户登录，请单击 Guest 标题中的 Enter。
3. 在 Developer Hub Settings 页面中，您的配置集名称为 Guest。
4. 您可以使用 Developer Hub 功能。

验证

1. 进入 Developer Hub 登录页面。
2. 要使用 Guest 用户帐户登录，请单击 Guest 标题中的 Enter。
3. 在 Developer Hub Settings 页面中，您的配置集名称为 Guest。
4. 您可以使用 Developer Hub 功能。

流程

1. 要允许 Developer Hub 使用 RHBK 进行身份验证，请完成 RHBK 中的步骤，创建 realm 和用户，并保护第一个应用程序:

   1. 使用现有域，或使用不同的名称（如 < my_ realm > ）创建一个 域。为下一步保存值：

      • RHBK 域基本 URL，例如： < your_rhbk_URL> /realms/ <your_realm>。

   2. 要在 RHBK 中注册您的 Developer Hub，请在创建域中注册 第一个应用程序，使用以下内容保护第一个应用程序 ：

      1. 客户端 ID ：不同的客户端 ID，如 < RHDH>。
      2. 有效的重定向 URI ：设置为 OIDC 处理程序 URL: https:// <RHDH_URL&gt; /api/auth/oidc/handler/frame.
      3. 导航到 Credentials 选项卡，再复制 Client secret。

      4. 保存下一步的值：

         • 客户端 ID
         • Client Secret
   3. 要准备验证步骤，请在同一域中获取现有用户 或创建用户的凭证 信息。保存验证步骤的用户凭证信息。

2. 要将 RHSSO 凭证添加到 Developer Hub 中，请将以下键/值对添加到 Developer Hub secret 中：

   AUTH_OIDC_CLIENT_ID

   输入保存 的客户端 ID。

   AUTH_OIDC_CLIENT_SECRET

   输入保存 的客户端 Secret。

   AUTH_OIDC_METADATA_URL

   输入保存的 RHBK 域基础 URL。

3. 要在 Developer Hub 自定义配置中设置 RHBK 身份验证供应商，请编辑自定义 Developer Hub ConfigMap，如 app-config-rhdh，并将以下行添加到 app-config.yaml 内容：

   1. 配置必填字段：

      app-config.yaml 片段带有强制字段，以启用 RHBK 身份验证

      auth:
        environment: production
        providers:
          oidc:
            production:
              metadataUrl: ${AUTH_OIDC_METADATA_URL}
              clientId: ${AUTH_OIDC_CLIENT_ID}
              clientSecret: ${AUTH_OIDC_CLIENT_SECRET}
              prompt: auto
      signInPage: oidc

      环境：production

      将环境标记为 production，以在 Developer Hub 主页中隐藏 Guest 登录。

      metadataUrl, clientId, clientSecret

      使用您的 secret 配置 OIDC 供应商。

      sigInPage: oidc

      将 OIDC 供应商作为默认登录供应商启用。

      提示： auto

      要允许身份提供程序自动决定是否提示输入凭证，或者在存在活跃的 RHSSO 会话时绕过登录重定向。

验证

1. 进入 Developer Hub 登录页面。
2. 您的 Developer Hub 签名页面显示 使用 OIDC 的 Sign in，并且 guest 用户登录被禁用。
3. 使用保存 的用户名和密码 值使用 OIDC 登录。

验证

1. 检查控制台日志，以验证同步是否已完成。

   成功同步示例：

   {"class":"KeycloakOrgEntityProvider","level":"info","message":"Read 3 Keycloak users and 2 Keycloak groups in 1.5 seconds. Committing...","plugin":"catalog","service":"backstage","taskId":"KeycloakOrgEntityProvider:default:refresh","taskInstanceId":"bf0467ff-8ac4-4702-911c-380270e44dea","timestamp":"2024-09-25 13:58:04"}
   {"class":"KeycloakOrgEntityProvider","level":"info","message":"Committed 3 Keycloak users and 2 Keycloak groups in 0.0 seconds.","plugin":"catalog","service":"backstage","taskId":"KeycloakOrgEntityProvider:default:refresh","taskInstanceId":"bf0467ff-8ac4-4702-911c-380270e44dea","timestamp":"2024-09-25 13:58:04"}

2. 使用 RHBK 帐户登录。

流程

1. 使用 yarn 新命令 创建一个新的 backend 模块。

2. 将自定义用户和组转换器添加到 keycloakTransformerExtensionPoint 中。

   以下是如何定义 backend 模块的示例：

   plugins/<module-name>/src/module.ts

   import {
     GroupTransformer,
     keycloakTransformerExtensionPoint,
     UserTransformer,
   } from '@backstage-community/plugin-catalog-backend-module-keycloak';
   
   const customGroupTransformer: GroupTransformer = async (
     entity, // entity output from default parser
     realm, // Keycloak realm name
     groups, // Keycloak group representation
   ) => {
     /* apply transformations */
     return entity;
   };
   const customUserTransformer: UserTransformer = async (
     entity, // entity output from default parser
     user, // Keycloak user representation
     realm, // Keycloak realm name
     groups, // Keycloak group representation
   ) => {
     /* apply transformations */
     return entity;
   };
   
   export const keycloakBackendModuleTransformer = createBackendModule({
     pluginId: 'catalog',
     moduleId: 'keycloak-transformer',
     register(reg) {
       reg.registerInit({
         deps: {
           keycloak: keycloakTransformerExtensionPoint,
         },
         async init({ keycloak }) {
           keycloak.setUserTransformer(customUserTransformer);
           keycloak.setGroupTransformer(customGroupTransformer);
           /* highlight-add-end */
         },
       });
     },
   });

   重要

   模块的 pluginId 必须设置为 catalog 以匹配 keycloak-backend 的 pluginId ；否则，模块无法初始化。

3. 将此新后端模块安装到 Developer Hub 后端中。

   backend.add(import(backstage-plugin-catalog-backend-module-keycloak-transformer))

流程

1. 要允许 Developer Hub 使用 GitHub 进行身份验证，请创建一个 GitHub 应用程序。选择 GitHub 应用程序而不是使用精细的权限，可以更好地控制应用程序可访问的存储库，并使用简短令牌。

   1. 使用以下配置注册 GitHub 应用程序：

      • GitHub App name ：输入用于标识 GitHub 应用程序的唯一名称，如 < Red Hat Developer Hub>- <GUID>。
      • 主页 URL: 您的 Developer Hub URL: https:// <my_developer_hub_url>.
      • 授权回调 URL ：您的 Developer Hub 身份验证后端 URL: https:// <my_developer_hub_url> /api/auth/github/handler/frame.
      • Webhook URL: 您的 Developer Hub URL: https:// <my_developer_hub_url>.
      • Webhook secret ：提供强大的 secret。

      • 存储库权限 ：

        • 启用对以下的只读访问权限 ：

          • 管理
          • 提交状态
          • 内容
          • Dependabot 警报
          • 部署
          • 拉取请求

          • Webhook

            提示

            如果您计划使用 GitHub API 进行更改，请确保启用 Read 和 write 权限，而不是 只读。

        • 根据您的需要切换其他权限。

      • 机构权限 ：

        • 启用对 成员的只读访问权限 。
      • 对于 何处可以安装此 GitHub 应用程序？，请选择 only on this account。
   2. 在 General → Clients secrets 部分中，点 Generate a new client secret。
   3. 在 General → Private key 部分中，点 Generate a private key。
   4. 在 Install App 选项卡中，选择要安装 GitHub App 的帐户。

   5. 为下一步保存以下值：

      • App ID
      • 客户端 ID
      • 客户端 secret
      • 私钥
      • Webhook secret

2. 要将 GitHub 凭证添加到 Developer Hub 中，请将以下键/值对添加到 Developer Hub secret 中：

   AUTH_GITHUB_APP_ID

   输入保存 的应用程序 ID。

   AUTH_GITHUB_CLIENT_ID

   输入保存 的客户端 ID。

   GITHUB_ORGANIZATION

   输入您的 GitHub 机构名称，如 ' <your_github_organization_name>'。

   GITHUB_ORG_URL

   输入 $GITHUB_HOST_DOMAIN/$GITHUB_ORGANIZATION。

   GITHUB_CLIENT_SECRET

   输入保存 的客户端 Secret。

   GITHUB_PRIVATE_KEY_FILE

   输入保存 的私钥。

   GITHUB_WEBHOOK_URL

   输入您的 Developer Hub URL: https:// <my_developer_hub_url>。

   GITHUB_WEBHOOK_SECRET

   输入保存的 Webhook secret。

3. .要设置 GitHub 身份验证供应商并在 Developer Hub 自定义配置中启用与 GitHub API 集成，请编辑自定义 Developer Hub 配置映射，如 my-rhdh-app-config，并将以下行添加到 app-config.yaml 文件内容中：

   app-config.yaml 文件片段带有强制字段，以启用使用 GitHub 进行身份验证

   auth:
     environment: production 

   1

   
     providers:
       github:
         production:
           clientId: ${AUTH_GITHUB_CLIENT_ID} 

   2

   
           clientSecret: ${AUTH_GITHUB_CLIENT_SECRET}
   integrations:
     github:
       - host: ${GITHUB_HOST_DOMAIN}
         apps:
           - appId: ${AUTH_GITHUB_APP_ID}
             clientId: ${AUTH_GITHUB_CLIENT_ID}
             clientSecret: ${GITHUB_CLIENT_SECRET}
             webhookUrl: ${GITHUB_WEBHOOK_URL}
             webhookSecret: ${GITHUB_WEBHOOK_SECRET}
             privateKey: |
               ${GITHUB_PRIVATE_KEY_FILE}
   signInPage: github 

   3

   1

   将环境标记为 生产环境，并在 Developer Hub 登录页面中禁用 Guest login 选项。

   2

   应用 Developer Hub secret 中配置的 GitHub 凭证。

   3

   启用 GitHub 供应商作为 Developer Hub 登录供应商。

   1. 可选： 考虑添加以下可选字段：

      callbackUrl

      GitHub 在启动 OAuth 流时使用的回调 URL，例如： < your_intermediate_service_url/handler >。当 Developer Hub 不是直接接收器时定义它，如当您为多个 Developer Hub 实例使用一个 OAuth 应用程序时。

      带有可选 enterpriseInstanceUrl 字段的 app-config.yaml 文件片段

      auth:
        providers:
          github:
            production:
              callbackUrl: <your_intermediate_service_url/handler>

验证

1. 进入 Developer Hub 登录页面。
2. 您的 Developer Hub 登录页面显示 使用 GitHub 的 Sign in，并且 Guest 用户登录被禁用。
3. 使用 GitHub 登录。

验证

1. 检查控制台日志，以验证同步是否已完成。

   成功同步示例：

   {"class":"GithubMultiOrgEntityProvider","level":"info","message":"Reading GitHub users and teams for org: rhdh-dast","plugin":"catalog","service":"backstage","target":"https://github.com","taskId":"GithubMultiOrgEntityProvider:production:refresh","taskInstanceId":"801b3c6c-167f-473b-b43e-e0b4b780c384","timestamp":"2024-09-09 23:55:58"}
   {"class":"GithubMultiOrgEntityProvider","level":"info","message":"Read 7 GitHub users and 2 GitHub groups in 0.4 seconds. Committing...","plugin":"catalog","service":"backstage","target":"https://github.com","taskId":"GithubMultiOrgEntityProvider:production:refresh","taskInstanceId":"801b3c6c-167f-473b-b43e-e0b4b780c384","timestamp":"2024-09-09 23:55:59"}

2. 使用 GitHub 帐户登录。

先决条件

1. 您有在 Microsoft Azure 中注册应用程序的权限。

   • 您 添加了自定义 Developer Hub 应用程序配置，并有足够的权限来修改它。

流程

1. 要允许 Developer Hub 与 Microsoft Azure 进行身份验证，请在 Microsoft Azure 中创建 OAuth 应用程序。

   1. 在 Azure 门户中 ， 使用 配置创建新注册 ：

      Name

      Azure 中的应用程序名称，如 < My Developer Hub>。

   2. 在 Home > App registrations > <My Developer Hub > > Manage &gt ; Authentication 页面中，使用以下配置添加平台 ：

      重定向 URI

      输入 Developer Hub 中设置的后端身份验证 URI： https:// <my_developer_hub_url&gt; /api/auth/microsoft/handler/frame

      front-channel logout URL

      留空。

      隐式授权和混合流

      保留所有复选框都未清除。

   3. 在 Home > App registrations &gt ; <My Developer Hub > > Manage &gt ; API permissions 页面中，添加 Permission，然后为 Microsoft Graph API 添加以下 委派权限 ：

      • email
      • offline_access
      • openid
      • 配置集
      • user.Read
      • 您在本节和 app-config.yaml Developer Hub 配置文件中定义的 Microsoft Graph API 的可选自定义范围。

1. 在 Home > App registrations > < My Developer Hub > > Manage > Certificates & Secrets 页的 Client secrets 选项卡中，创建一个 New client secret。

2. 保存下一步：

   • 目录（租户）ID
   • 应用程序（客户端）ID

   • 应用程序（客户端）secret

     1. 要将 Microsoft Azure 凭证添加到 Developer Hub，请将以下键/值对添加到 Developer Hub secret 中：

        AUTH_AZURE_TENANT_ID

        输入您保存的目录 （租户）ID。

        AUTH_AZURE_CLIENT_ID

        输入您保存的 应用程序（客户端）ID。

        AUTH_AZURE_CLIENT_SECRET

        输入您保存的 应用程序（客户端）secret。

     2. 在 app-config.yaml 文件中设置 Microsoft Azure 身份验证供应商：

        app-config.yaml 文件片段

        auth:
          environment: production 

        1

        
          providers:
            microsoft:
              production:
                clientId: ${AUTH_AZURE_CLIENT_ID} 

        2

        
                clientSecret: ${AUTH_AZURE_CLIENT_SECRET}
                tenantId: ${AUTH_AZURE_TENANT_ID}
        signInPage: microsoft 

        3

        1

        将环境标记为生产环境，并在 Developer Hub 登录页面中禁用 Guest login 选项。

        2

        应用在 Developer Hub secret 中配置的 Microsoft Azure 凭证。

        3

        将 Microsoft Azure 供应商设置为 Developer Hub 登录供应商。

        1. 可选： 考虑添加以下可选字段：

           domainHint

           可选的用于单租户应用程序。您可以通过从其他租户过滤出帐户，减少具有多个租户中帐户的登录侵权。如果要将此参数用于单租户应用，请取消注释并输入租户 ID。如果您的应用程序注册是多租户的，请将此参数留空。如需更多信息，请参阅 Home Realm Discovery。

           带有可选 domainHint 字段的 app-config.yaml 文件片段

           auth:
             environment: production
             providers:
               microsoft:
                 production:
                   domainHint: ${AUTH_AZURE_TENANT_ID}

           additionalScopes

           可选用于其他范围。要为应用程序注册添加范围，取消注释并输入您要添加的范围列表。default 和 mandatory 值 list: 'openid', 'offline_access', 'profile', 'email', 'User.Read'.

           带有可选 additionalScopes 字段的 app-config.yaml 文件片段

           auth:
             environment: production
             providers:
               microsoft:
                 production:
                   additionalScopes:
                      - Mail.Send

           sessionDuration

           用户会话的寿命。以 ms 库格式输入持续时间（如 '24h'、'2 days'）、ISO 持续时间或 "human duration"，如代码中使用的。

           带有可选 sessionDuration 字段的 app-config-rhdh.yaml 片段

           auth:
             providers:
               microsoft:
                 production:
                   sessionDuration: { hours: 24 }

           signIn

           解析器

           身份验证成功后，中的用户签名必须解析为 Developer Hub 目录中的现有用户。为了更好地为您的用例安全地匹配用户，请考虑配置特定的解析器。输入解析器列表以覆盖默认解析器： emailLocalPartMatchingUserEntityName。

           身份验证提供程序尝试每个登录解析器按顺序尝试，直到成功为止，如果没有成功，则失败。

           警告

           在 production 模式中，只配置一个解析器以确保用户被安全地匹配。

           resolver

           输入登录解析器名称。可用的解析器：

           • userIdMatchingUserEntityAnnotation
           • emailLocalPartMatchingUserEntityName
           • emailMatchingUserEntityProfileEmail

           dangerouslyAllowSignInWithoutUserInCatalog: true

           配置登录解析器以绕过 Developer Hub 软件目录中的用户置备要求。

           警告

           使用 dangerouslyAllowSignInWithoutUserInCatalog 探索 Developer Hub 功能，但不要在生产环境中使用它。

           带有可选字段的 app-config-rhdh.yaml 片段，允许软件目录中缺少的用户签名

           auth:
             environment: production
             providers:
               microsoft:
                 production:
                   clientId: ${AUTH_AZURE_CLIENT_ID}
                   clientSecret: ${AUTH_AZURE_CLIENT_SECRET}
                   tenantId: ${AUTH_AZURE_TENANT_ID}
                   signIn:
                     resolvers:
                       - resolver: usernameMatchingUserEntityName
                         dangerouslyAllowSignInWithoutUserInCatalog: true
           signInPage: microsoft

        注意

        对于具有传出访问限制的环境，此步骤是可选的，如防火墙规则。如果您的环境有这种限制，请确保您的 RHDH 后端可以访问以下主机：

        • login.microsoftonline.com ：用于获取和交换授权代码和访问令牌。
        • graph.microsoft.com ：用于检索用户配置文件信息（如源代码中引用）。如果这个主机无法访问，您可能会看到 Authentication failed，在尝试登录时无法获取用户配置集 错误。

        = 从 Microsoft Azure 置备用户到软件目录

        要使用 Microsoft Azure 验证用户身份，请在使用 Microsoft Azure 启用身份验证 后，将用户从 Microsoft Azure 置备到 Developer Hub 软件目录。

        先决条件

        • 您已使用 Microsoft Azure 启用身份验证。

        流程

        • 要启用 Microsoft Azure 成员发现，请编辑自定义 Developer Hub ConfigMap，如 app-config-rhdh，并将以下行添加到 app-config.yaml 内容中：

验证

1. 检查控制台日志，以验证同步是否已完成。

   成功同步示例：

   backend:start: {"class":"MicrosoftGraphOrgEntityProvider$1","level":"info","message":"Read 1 msgraph users and 1 msgraph groups in 2.2 seconds. Committing...","plugin":"catalog","service":"backstage","taskId":"MicrosoftGraphOrgEntityProvider:default:refresh","taskInstanceId":"88a67ce1-c466-41a4-9760-825e16b946be","timestamp":"2024-06-26 12:23:42"}
   backend:start: {"class":"MicrosoftGraphOrgEntityProvider$1","level":"info","message":"Committed 1 msgraph users and 1 msgraph groups in 0.0 seconds.","plugin":"catalog","service":"backstage","taskId":"MicrosoftGraphOrgEntityProvider:default:refresh","taskInstanceId":"88a67ce1-c466-41a4-9760-825e16b946be","timestamp":"2024-06-26 12:23:42"}

2. 使用 Microsoft Azure 帐户登录。