OIDC單點登錄
更新時間 2025-02-21 10:08:00
最近更新時間: 2025-02-21 10:08:00
分享文章
OIDC（OpenID Connect）是基于OAuth 2.0協議的身份驗證層，用于實現單點登錄（SSO）和身份驗證。服務網格支持對接符合OIDC規范的IDP（Identity Provider），實現單點登錄能力。
OIDC策略配置說明
| 配置項 | 說明 |
|---|---|
| 安全策略名稱 | 策略名稱，如testoidc |
| 登錄重定向地址 | 登錄完成后重定向到的目標服務地址 |
| callbackUrl | 基于重定向地址拼接生成的重定向URL |
| OIDC頒發者URL | OIDC頒發者的地址，用于發現IDP的配置信息 |
| 頒發者提供的客戶端ID(ClientID) | IDP授權接入的客戶端的ID |
| 頒發者提供的客戶端密鑰(ClientSecret) | IDP授權接入的客戶端的Secret |
| Cookie密鑰 | 用于對Cookie進行加解密，保證Cookie安全性 |
| Cookie過期時間(s) | 到達該時間后Cookie會過期，設置為0則在瀏覽器關閉時Cookie才會過期 |
| Cookie刷新時間(s) | 每間隔該時間刷新Cookie，設置為0關閉 |
| 用戶信息范圍Scopes | 獲取用戶的信息范圍配置 |
OIDC策略綁定
策略生效粒度
當前支持命名空間、服務、工作負載、網關的生效粒度配置，說明如下
| 生效粒度 | 說明 |
|---|---|
| 命名空間 | 策略下發到所選擇命名空間下所有數據面 |
| 服務 | 策略下發到所選服務關聯的工作負載數據面 |
| 工作負載 | 策略下發到指定工作負載的數據面 |
| 網關 | 策略下發到網關 |
請求匹配規則
對于JWT策略、OIDC策略和自定義授權服務策略，支持基于請求特征匹配決定是否執行當前策略，支持的匹配項及說明如下
| 匹配項 | 說明 |
|---|---|
| HTTP域名(Host) | 匹配一組請求的域名 |
| HTTP路徑(Path) | 匹配一組請求路徑 |
| HTTP方法(Method) | 匹配一組請求的HTTP Method |
| 端口(Port) | 匹配一組請求的目標服務端口 |
說明域名和路徑匹配支持以下匹配模式
精確匹配：如abc匹配abc字符串
前綴匹配：abc*匹配abc、abcd、abce等
后綴匹配：*abc匹配abc、xabc、zabc等
存在匹配：*匹配所有非空值
請求匹配支持黑白名單模式
黑名單模式：選中請求必須執行認證策略
白名單模式：選中請求跳過認證策略，其他請求需要執行策略
