新建 SSO 集成

OCP 内置了账号体系，您可参考本页面在 OCP 中配置外部集成服务，并通过 SSO 登录到 OCP 首页。

前提条件

• 请确保当前登录 OCP 的用户为 ADMIN 角色。
• 用户已部署授权服务。

注意事项

• OAUTH/OIDC 集成只支持授权码模式。
• OAUTH/OIDC 退出登录时，只清除 OCP 应用的登录态，不会清理 SSO 系统的登录态。

操作步骤

配置 OAuth2 类型

示例：使用 OAUTH 类型集成第三方应用到 OCP 中，以通过第三方登录账号授权访问到 OCP。

1. 登录 OCP。

2. 单击左导航栏 系统管理 > 外部集成，进入 SSO 集成列表 页面。

3. 单击右上角 创建 SSO 集成 ，在弹窗中配置网关鉴权相关参数。

   OAuth2 类型参数说明如下：

   参数	说明
   配置名称	配置名称将会应用于自定义登录名，以英文字母开头、英文或数字结尾，可包含英文、数字和下划线，且长度为 2 ~ 32 个字符。
   类型	选择 OAuth2。
   是否启用本地登录模式	是否支持本地的用户名、密码登录模式。
   Client ID	应用标识，与授权服务器注册时的配置保持一致。
   Client Secret	应用密钥。
   Auth URL	授权服务器提供的获取 grant-code 地址。
   User Info URL	授权服务器提供的获取 user-info 地址。
   Token URL	授权服务器提供的获取 access-token 地址。
   Redirect URL	授权服务器回调 OCP 服务的地址。 注意 如果 SSO 有回调白名单，需要进行加白。
   Scope	应用授权作用域，多个用空格隔开，建议为 profile。 注意 通过第三方应用配置 SSO 时，Scope 必须填写。
   jwkSet URL	高级选项，可选填。授权服务器提供的公钥地址，使用公钥进行鉴权。
   userNameAttribute	高级选项，可选填。用户名称字段。
   Client Authentication Method	高级选项，可选填。使用授权服务器对客户端进行身份验证时使用的身份验证方法
   Authorization Grant Type	高级选项，可选填。OAuth2 的授权方式。
   User Info Authentication Method	高级选项，可选填。在向资源服务器发送资源请求中的承载访问令牌时使用的身份验证方法。

4. 单击 测试连接，跳转到第三方授权登录界面。

5. 输入第三方登录的账号与密码，单击 第三方登录 授权访问到 OCP。

6. 测试连接成功后，返回用户信息 API 的结构，根据返回的信息填写用户字段映射相关参数。

   说明

   对于不同的第三方应用，其用户信息 API 返回的结构通常不同。为将第三方应用的用户信息映射到 OCP 用户字段，您需要填写用户信息映射表单。用户字段映射用于标识与 OAuth2 登录关联的 OCP 帐户的标识符。

7. 单击 保存，完成创建 SSO 集成。

8. 参考 启用/停用 SSO 集成配置，在 SSO 集成列表 中，开启创建的 SSO 集成。

配置 OIDC 类型

示例：使用 OIDC 类型集成第三方应用到 OCP 中，以通过第三方登录账号授权访问到 OCP。

1. 登录 OCP。

2. 单击左导航栏 系统管理 > 外部集成，进入 SSO 集成列表 页面。

3. 单击右上角 创建 SSO 集成 ，在弹窗中配置网关鉴权相关参数。

   OIDC 类型参数说明如下：

   步骤	参数说明
   配置名称	配置名称将会应用于自定义登录名，以英文字母开头、英文或数字结尾，可包含英文、数字和下划线，且长度为 2 ~ 32 个字符。
   类型	选择 OIDC。
   是否启用本地登录模式	是否支持本地的用户名、密码登录模式。
   Client ID	应用标识，与授权服务器注册时的配置保持一致。
   Client Secret	应用密钥，与授权服务器注册时的配置保持一致。
   Auth URL	授权服务器提供的获取 grant-code 地址。
   User Info URL	授权服务器提供的获取 user-info 地址。
   Token URL	授权服务器提供的获取 access-token 地址。
   Redirect URL	授权服务器回调 OCP 服务的地址。 注意 如果 SSO 有回调白名单，需要进行加白。
   Scope	应用授权作用域，多个用空格隔开，建议为 profile。 注意 通过第三方应用配置 SSO 时，Scope 必须填写。
   jwkSet URL	高级选项，可选填。授权服务器提供的公钥地址，使用公钥进行鉴权。
   Issue URL	设置认证服务的 Issue 地址。
   Client Authentication Method	高级选项，可选填。使用授权服务器对客户端进行身份验证时使用的身份验证方法。
   Authorization Grant Type	高级选项，可选填。OAuth2 的授权方式。
   User Info Authentication Method	高级选项，可选填。在向资源服务器发送资源请求中的承载访问令牌时使用的身份验证方法。

4. 测试连接需要单独的回调白名单，请根据页面上的提示信息手动添加白名单后，单击 测试连接。

5. 输入第三方登录的账号与密码，单击 第三方登录 授权访问到 OCP。

6. 测试连接成功后，返回用户信息 API 的结构，根据返回的信息填写用户字段映射相关参数。

   说明

   对于不同的第三方应用，其用户信息 API 返回的结构通常不同。为将第三方应用的用户信息映射到 OCP 用户字段，您需要填写用户信息映射表单。用户字段映射用于标识与 OAuth2 登录关联的 OCP 帐户的标识符。

7. 单击 保存，完成创建 SSO 集成。

8. 参考 启用/停用 SSO 集成配置，在 SSO 集成列表 中，开启创建的 SSO 集成。