第 12 章 使用机器人帐户进行无密钥身份验证

流程

1. 在 Red Hat Single Sign-On UI 中：

   1. 点 Clients，然后是可以请求用户验证的应用程序或服务的名称。

   2. 在客户端的 Settings 页面中，确保设置或启用以下选项：

      • 客户端 ID
      • 有效的重定向 URI
      • 客户端身份验证
      • 授权
      • 标准流程

      • 直接访问授予

        注意

        根据您的设置，设置可能会有所不同。

   3. 在 Credentials 页面中，存储 Client Secret 以备将来使用。
   4. 在 Users 页面中，单击 Add user 并输入用户名，如 service-account-quaydev。然后，单击 Create。
   5. 单击用户的名称，如 Users 页面上的 service-account-quaydev。
   6. 点 Credentials 标签页 Set password →，为用户提供密码。如果保证，您可以通过选择 Temporary 选项使此密码临时化。

   7. 点 Realm settings 选项卡 OpenID Endpoint Configuration。存储 /protocol/openid-connect/token 端点。例如：

      http://localhost:8080/realms/master/protocol/openid-connect/token

2. 在网页浏览器中，导航到以下 URL：

   http://<keycloak_url>/realms/<realm_name>/protocol/openid-connect/auth?response_type=code&client_id=<client_id>

3. 出现提示时，使用 service-account-quaydev 用户和您设置的临时密码登录。必要时，提供所需信息并设置永久密码，从而完成登录。

4. 您将被重定向到为客户端提供的 URI 地址。例如：

   https://localhost:3000/cb?session_state=5c9bce22-6b85-4654-b716-e9bbb3e755bc&iss=http%3A%2F%2Flocalhost%3A8080%2Frealms%2Fmaster&code=ea5b76eb-47a5-4e5d-8f71-0892178250db.5c9bce22-6b85-4654-b716-e9bbb3e755bc.cdffafbc-20fb-42b9-b254-866017057f43

   记录地址中提供的 代码。例如：

   code=ea5b76eb-47a5-4e5d-8f71-0892178250db.5c9bce22-6b85-4654-b716-e9bbb3e755bc.cdffafbc-20fb-42b9-b254-866017057f43

   注意

   这是只能一次使用的临时代码。如果需要，您可以刷新页面或重新访问 URL 以获取另一个代码。

5. 在终端中，使用以下 curl -X POST 命令来生成临时 OAuth2 访问令牌：

   $ curl -X POST "http://localhost:8080/realms/master/protocol/openid-connect/token" 1
   -H "Content-Type: application/x-www-form-urlencoded" \
   -d "client_id=quaydev" 2
   -d "client_secret=g8gPsBLxVrLo2PjmZkYBdKvcB9C7fmBz" 3
   -d "grant_type=authorization_code"
   -d "code=ea5b76eb-47a5-4e5d-8f71-0892178250db.5c9bce22-6b85-4654-b716-e9bbb3e755bc.cdffafbc-20fb-42b9-b254-866017057f43" 4

   1

   在 Red Hat Single Sign-On UI 的 Realm settings 页面中找到的 protocol/openid-connect/token 端点。

   2

   用于此流程的客户端 ID。

   3

   客户端 ID 的客户端 Secret。

   4

   从重定向 URI 返回的代码。

   输出示例

   {"access_token":"eyJhbGciOiJSUzI1NiIsInR5cCIgOiAiSldUIiwia2lkIiA6ICJTVmExVHZ6eDd2cHVmc1dkZmc1SHdua1ZDcVlOM01DN1N5T016R0QwVGhVIn0...",
   "expires_in":60,"refresh_expires_in":1800,"refresh_token":"eyJhbGciOiJIUzUxMiIsInR5cCIgOiAiSldUIiwia2lkIiA6ICJiNTBlZTVkMS05OTc1LTQwMzUtYjNkNy1lMWQ5ZTJmMjg0MTEifQ.oBDx6B3pUkXQO8m-M3hYE7v-w25ak6y70CQd5J8f5EuldhvTwpWrC1K7yOglvs09dQxtq8ont12rKIoCIi4WXw","token_type":"Bearer","not-before-policy":0,"session_state":"5c9bce22-6b85-4654-b716-e9bbb3e755bc","scope":"profile email"}

6. 将 access_token 从上一步中存储，因为它将在以下流程中为 Red Hat Quay 机器人帐户令牌交换。