背景
在支持Keycloak第三方认证,同时需要从keycloak中获取到用户(员工)的部门(group)信息,以便于Jenkins针对不同的部门(group)进行权限控制。
因此前提是要飞书把用户的部门信息同步到Keycloak上。我们通过订阅飞书的用户、部门相关事件,开发了一个adapter程序,在接收到飞书事件后,调用一堆飞书API和Keycloak API实现了飞书和Keycloak的部门信息同步,从而使得飞书中用户与部门的增删改事件可以(实时)同步到Keycloak中。
其中Keycloak与飞书的集成可以参考:https://github.com/tedgxt/keycloak-service-social-lark
Jenkins配置前必看
-
Configure Global Security
中Authorization
配置为Anyone can do anything
。防止切换到oidc登陆时,若不成功无法登陆Jenkins。设置了此项后即使未登录Jenkins也能修改配置(生产环境操作时注意安全性)。 - 后台备份Jenkins的
config.xml
文件,以便于配置过程异常时的恢复。
Keycloak配置
- 创建Jenkins使用的client,此处命名为
jenkins-test
,类型选择oidc。jenkins-test
就是后面Jenkins中要配置的Client ID
。 - client详情中, 设置
Access Type
为confidential
,并设置Valid Redirect URIs
为允许跳转的Jenkins地址。记录Credentials标签页中的Secret,后面在Jenkins配置Client Secret
时使用。 - 配置使得Keycloak可以提供group信息。有两种配置方式,按下面的说明根据实际场景选择其中一种进行配置:
- 点击client
jenkins-test
,进入设置页,选择Mappers
,右上角点击create。添加group相关映射,Mapper Type选择Group Membership
,Token Claim Name
配置为group-membership
,其中Token Claim Name
的值就是jwt token中group信息的key值,后面Jenkins会通过该key获取到group信息。该方法是针对单个client。配置如下图:
- 点击
Client Scopes
->profile
->Mappers
,Token Claim Name
配置为group-membership
,Mapper Type
设置为Group Membership
。注意该方法会导致所有的client的profile信息都包含group信息。
配置如下图
配置了group相关映射后,调用Keycloak的接口可以获取基于用户的Jwt Token,通过解析Jwt Token可以获取到group-membership信息:
// 省略了token payload信息
"scope": "email profile",
"email_verified": false,
"name": "xxxx",
"nickname": "xxxx",
"preferred_username": "xiatao.guan@xxxxxx",
"given_name": "xxxx",
"family_name": "xxxxx",
"email": "xiatao.guan@xxxxxx",
"group-membership": [
"/Dev/HZ Dev/Ops & QA& LBware/QA"
后续Jenkins通过配置,会从token的group-membership
中获取用户的group信息。
Jenkins配置
安装OIDC插件
当前Jenkins实际有提供Keycloak插件用于直接对接Keycloak。有配置成功过的同学可以留言交流一下。
当前我们使用OIDC插件来进行配置。
需要配置信息如下:
配置项 | 值 | 描述 |
---|---|---|
Client id | jenkins-test | Keycloak中添加的jenkins client的Client ID |
Client secret | xxxxx | Keycloak中添加的jenkins client的Secret |
Token Server url | xxxxx | 获取token的地址 |
Authorization server url | xxxxx | 授权地址 |
UserInfo server url | xxxxx | 获取用户信息的地址 |
Scopes | openid email phone group-membership等 | 一定要包含group-membership,否则无法获取到group信息 |
User name field name | 使用email作为jenkins用户名 | |
Full name field name | 使用email作为jenkins用户全名 | |
Email field name | ||
Groups field name | group-membership | Keycloak中配置的group的映射名 |
保存后退出当前用户,重新登陆Jenkins会跳转到Keycloak的登陆页面。我们在Keycloak中集成了飞书,通过飞书扫码登录后即跳转到Jenkins主页。
进入用户详情页,若当前用户有管理员权限,可以看到Groups信息,如下图:
若只是普通用户,在用户详情页看不到Groups信息,可以访问 http://127.0.0.1:8280/whoAmI/ 获取到当前登陆用户的Groups信息,如图:
后面就可以通过配置Jenkins的授权策略,来实现基于group的权限管理啦。
Trobule Shotting
- 在生产环境Jenkins接入keycloak,在Keycloak/飞书登陆后,Jenkins跳转后页面报401错误
/securityRealm/finishLogin 401
。检查对比了Keycloak和Jenkins线上与线下环境相关的配置,发现配置都是相同的。
经过分析HTTP请求,发现线上环境的Jenkins对外暴露的是域名https://jenkins.xxxxx.com/
,而认证后跳转到的401地址是http://10.xx.xx.xx:8080/securityRealm/finishLogin
。
http://10.xx.xx.xx:8080
是Jenkins的ip访问地址,并且通过该IP访问方式,Keycloak/飞书可以成功登陆并跳转到Jenkins页面。
检查Jenkins的配置,发现Jenkins URL
被配置成了http://10.xx.xx.xx:8080
,导致通过域名方式访问Jenkins并认证后,跳转到了http://10.xx.xx.xx:8080
,此处应该是存在session问题,导致认证失败报401错误。于是把Jenkins URL
改为域名https://jenkins.xxxxx.com/
,生效后通过域名登陆成功。