Authentik
Einen OAuth2/OpenID-Provider mit Anwendung in Authentik anlegen und ihn für Single Sign-on verbinden.
Costfluent meldet deine Leute über Authentik per OpenID Connect an. Du legst in Authentik einen OAuth2/OpenID-Provider mit einer Anwendung an, und Costfluent vertraut den Adressen der Domains, die du bestätigst.
Bevor du beginnst
- Du brauchst in Costfluent die Organisationsrolle Eigentümer und Administratorzugriff auf Authentik.
- Dein Authentik-Server ist aus dem Internet per HTTPS erreichbar, damit Costfluent sein Discovery-Dokument und seine Schlüssel lesen kann.
- Die Adressen deiner Leute liegen in einer Domain, für die du einen DNS-TXT-Eintrag veröffentlichen kannst.
Verfügbar im Core-, Optimize- und Scale-Tarif. Tarife vergleichen
Anwendung registrieren
- Lege in der Admin-Oberfläche von Authentik einen OAuth2/OpenID-Provider mit dem Client-Typ vertraulich (confidential) an.
- Füge den Weiterleitungs-URI
https://app.costfluent.com/api/auth/sso/callbackmit strikter Übereinstimmung hinzu. - Behalte die Scopes
openid,emailundprofileund einen RS256- oder ES256-Signaturschlüssel. - Lege eine Anwendung mit einem Slug deiner Wahl an, die diesen Provider nutzt, und binde die Benutzer oder Gruppen, die sich anmelden sollen.
- Kopiere die Client-ID und das Client-Secret aus dem Provider.
Deine Discovery-URL ist https://<authentik-host>/application/o/<slug>/.well-known/openid-configuration, mit dem Slug der Anwendung.
Gruppen senden
Die Standard-Zuordnung des Scopes profile in Authentik sendet bereits einen Claim groups mit den Namen der Gruppen des Benutzers; es ist nichts hinzuzufügen.
Die Gruppe beim Identitätsanbieter, die du in Costfluent zuordnest, ist der Gruppenname, wie Authentik ihn zeigt.
In Costfluent verbinden
- Öffne Einstellungen, dann Single Sign-on, und verbinde deinen Anbieter mit der Discovery-URL, der Client-ID und dem Client-Secret.
- Füge der Verbindung deine E-Mail-Domains hinzu und bestätige jede mit ihrem DNS-TXT-Eintrag.
- Ordne die Gruppen Teams zu und aktiviere dann die Verbindung.
Anmeldung und Sicherheit beschreibt jeden dieser Schritte, das Erzwingen und die Notfall-Eigentümer.
So verhält es sich
Costfluent liest diese Claims aus dem ID-Token und, wo das ID-Token einen auslässt, vom Userinfo-Endpunkt:
iss, der dem Aussteller gleichen muss, den dein Discovery-Dokument beim Verbinden nannte,https://<authentik-host>/application/o/<slug>/.subals die Identität, die Costfluent speichert.email, die in einer der bestätigten Domains der Verbindung liegen muss, was auch immeremail_verifiedsagt. Eine Adresse außerhalb aller bestätigten Domains wird abgelehnt, ebenso eine Anmeldung ohne Adresse.name, für den Namen eines Kontos, das Costfluent anlegt.groupsoder ein anderer Claim-Name, den du an der Verbindung einstellst.
Costfluent lehnt außerdem ein Token ab, dessen Signatur, Zielgruppe, Nonce oder Gültigkeit nicht stimmt, und ein Discovery-Dokument, das plötzlich einen anderen Aussteller nennt.