使用 OpenID Connect 和 Apache APISIX 进行身份验证

绝地灬酷狼 2024-03-25 08:54 84阅读 0赞

许多公司都渴望提供他们的身份提供商：Twitter、Facebook、谷歌等。对于小型企业来说，不必管理身份是一个好处。但是，我们希望避免被锁定在一个提供商中。在这篇文章中，我想演示如何使用下面的 Google 使用 OpenID Connect，然后切换到 Azure。

### OpenID 连接 ###

*授权*开放标准的想法始于 2006 年左右的[OAuth][]。由于安全问题，OAuth 2.0 取代了初始版本。OAuth 2.0 于 2012 年成为IETF RFC：

> OAuth 2.0 授权框架允许第三方  
> 应用程序获得对 HTTP 服务的有限访问权限，或者代表资源所有者通过编排 资源所有者和 HTTP 服务之间的  
> 批准交互，或者允许 第三方应用程序代表自己获取访问权限  
>   
>   
> \--  [RFC 7469 - OAuth 2.0 授权框架][OAuth]

OAuth 主要关注*授权*；

身份*验证*部分非常简单：

它包含有关客户端密码身份验证和一种其他身份验证方法的部分。

> 授权服务器可以支持  
> 匹配其安全要求的任何合适的 HTTP 身份验证方案。当使用其他  
> 认证方法时，授权服务器必须定义  
> 客户端标识符（注册记录）和  
> 认证方案之间的映射。  
> \--  [2.3.2。其他身份验证方法][OAuth]

OpenID Connect 使用 OAuth 2.0 并添加*身份验证*部分：

> OpenID Connect 1.0 是 OAuth 2.0 协议之上的一个简单身份层。它允许客户端根据授权服务器执行的身份验证来验证最终用户的身份，并以可互操作和类似 REST 的方式获取有关最终用户的基本配置文件信息。  
> OpenID Connect 允许所有类型的客户端（包括基于 Web 的客户端、移动客户端和 JavaScript 客户端）请求和接收有关经过身份验证的会话和最终用户的信息。该规范套件是可扩展的，允许参与者在对他们有意义时使用可选功能，例如身份数据加密、OpenID 提供者发现和注销。  
> \-- [什么是 OpenID 连接？][OAuth]

以下是一些与 OpenID Connect 兼容的身份提供者：

*  GitHub

*  谷歌

*  微软

*  苹果

*  Facebook

*  推特

*  Spotify 音乐

在下文中，我们将从 Google 开始，然后切换到 Azure 来验证我们的设置。

### 使用 Apache APISIX 设置 OpenID Connect ###

想象一下，我们在 Apache APISIX 后面有一个 Web 应用程序，我们希望使用 OpenID Connect 来保护它。这是相应的 Docker Compose 文件：

version:"3"services:apisix:image:apache/apisix:3.1.0-debian#1ports:-"9080:9080"volumes:-./apisix/config.yml:/usr/local/apisix/conf/config.yaml:ro#2-./apisix/apisix.yml:/usr/local/apisix/conf/apisix.yaml:ro#3env_file:-.envhttpbin:image:kennethreitz/httpbin#4

1.  Apache APISIX API 网关

1.  APISIX 配置 - 用于在以下行中静态配置它

1.  配置单一路由

1.  Webapp 来保护。任何都会做

Apache APISIX 提供了一个基于插件的架构。一个这样的插件是[openid-connect][OAuth]插件，它允许使用 OpenID Connect。

让我们配置它：

routes:-uri:/*#1upstream:nodes:"httpbin:80":1#1plugins:openid-connect:client_id:${
        {OIDC_CLIENTID}}#2client_secret:${
        {OIDC_SECRET}}#2discovery:https://${
        {OIDC_ISSUER}}/.well-known/openid-configuration#2#3redirect_uri:http://localhost:9080/callback#4scope:openid#5session:secret:${
        {SESSION_SECRET}}#6#END

1.  通向底层 Web 应用程序的全部路由

1.  插件配置参数。值取决于确切的提供者（见下文）

1.  OpenID Connect 可以使用发现端点来获取所有必要的 OAuth 端点。有关详细信息，请参阅[OpenID Connect Discovery 1.0 规范][OAuth]

1.  认证成功后重定向到哪里。它不得与任何明确定义的路线发生冲突。该插件在那里创建了一条专用路由以发挥其魔力。

1.  默认范围

1.  加密会话数据的密钥。想放什么就放什么。

### 为 OIDC 配置 Google ###

与所有云提供商一样，谷歌提供了一个成熟的身份管理解决方案，这可能会让新手望而生畏。在本节中，我将仅详细介绍为OIDC配置它所需的必要步骤。

在[Cloud Console][OAuth]上，创建一个专用项目（或使用现有项目）。

如果您还没有这样做，请自定义[OAuth Consent Screen][OAuth]。

在项目上下文中，导航*APIs & Services | 凭证*。

![75f77de39cf85f69ef9f90c6e0cbe48c.jpeg][]

然后，按上方菜单栏中的*+ CREATE CREDENTIALS按钮。*

![b9df4f9508e96f20b85148f36ec6cb24.png][]

在滚动菜单中选择*OAuth Client Id 。*

![80b222409907df80a908c3dd49303cfb.jpeg][]

填写字段：

*  应用类型：网络应用

*  名称：随便你

*  授权的重定向 URI：<URL>/callback，*例如*，[http://localhost:9080/callback][http_localhost_9080_callback]

![c190df980fca53c0dea71039826af2f6.jpeg][]

URL应该是 Web 应用程序的 URL。同样，/callback应该匹配openid-connect上面的插件配置。请注意，Google 不允许相对 URL，因此如果您需要在不同环境中重用该应用程序，则需要添加每个环境的 URL。单击*创建*按钮。

![76cb83a932e51e7a56f3d15ab4c6222a.jpeg][]

在上面的 Docker Compose 配置中，使用 Client ID 和 Client Secret 作为OIDC\_CLIENTID和OIDC\_SECRET。我将它们作为环境变量写在.env文件中。

最后一个缺失的变量是OIDC\_ISSUER：它是[accounts.google.com][OAuth]。如果您导航到[https://accounts.google.com/.well-known/openid-configuration][OAuth]，您将看到 OAuth 2.0（以及更多）所需的所有数据。

在这一点上，我们可以开始我们的设置docker compose up。当我们导航到[http://localhost:9080/][OAuth]时，浏览器将我们重定向到 Google 身份验证页面。因为我已经通过身份验证，所以我可以选择我的 ID - 我需要一个绑定到我上面创建的项目的组织。

![075bdc966f2dc59569237dc3d4a016f4.jpeg][]

然后，我就可以自由访问该资源了。

### 为 OIDC 配置 Azure ###

我的同事 Bobur 已经描述了为 OIDC 配置 Azure 所需执行的[所有操作。][OAuth]

我们只需要更改 OIDC 参数：

*  OIDC\_CLIENTID

*  OIDC\_SECRET

*  OIDC\_ISSUER: 在 Azure 上，它应该看起来像[login.microsoftonline.com/<TENANT\_ID>/v2.0][OAuth]

如果使用新参数重新启动 Docker Compose，根页面现在受 Azure 登录保护。

### 结论 ###

将您的身份验证过程外部化给第三方可能是明智的，但您希望避免将您的基础设施绑定到其专有过程。OpenID Connect 是一种行业标准，可让您轻松切换提供商。

Apache APISIX 提供了一个集成 OIDC 的插件，以便您可以使用后者保护您的应用程序。没有理由不使用它，因为所有专用身份提供程序（例如 Okta 和 Keycloak）都与 OIDC 兼容。

[OAuth]: https://zhifj.com/
[75f77de39cf85f69ef9f90c6e0cbe48c.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/a3a28820074149e78d1862599dc54f0f.png
[b9df4f9508e96f20b85148f36ec6cb24.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/e512fc9dffb2484c854f5d906ccae332.png
[80b222409907df80a908c3dd49303cfb.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/7f38d8ab460b43f9803fdd27882af8c4.png
[http_localhost_9080_callback]: http://localhost:9080/callback
[c190df980fca53c0dea71039826af2f6.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/de072868fa5f43758853736f3d5765d1.png
[76cb83a932e51e7a56f3d15ab4c6222a.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/8a3d5b9411c24c7d8f791ceb8f60c6b7.png
[075bdc966f2dc59569237dc3d4a016f4.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/c3f613c7b28041b0900b5c054e881879.png