OIDC 身份提供商和 Harbor

⚙️ 配置步骤详解

要实现上述流程，你需要分别在 OIDC 身份提供商和 Harbor 两端进行配置。

1. 在 OIDC 身份提供商端配置
   首先，你需要在你的 OIDC 提供商（例如 KubeSphere、Keycloak 等）上将 Harbor 注册为一个客户端应用。

   • 获取重定向 URI：在 Harbor 的认证配置页面底部，你可以找到需要提供给 OIDC 提供商的重定向 URI，格式通常为 https://<你的harbor域名>/c/oidc/callback。

   • 创建客户端：在 OIDC 提供商处创建一个新的客户端，并将上一步获取的 Harbor 回调 URI 设置为授权的重定向 URI。

   • 记录关键信息：妥善保存 OIDC 提供商提供的 客户端 ID 和 客户端密钥，在配置 Harbor 时会用到。

   • 配置声明（Claims）：根据需求，你可能需要在 OIDC 提供商端配置用户名声明和组声明，以便 Harbor 能正确识别用户信息和权限。

2. 在 Harbor 管理界面中配置
   完成服务端配置后，你需要以管理员身份登录 Harbor 界面进行设置。

   • 进入"管理" -> "配置" -> "身份验证"选项卡。

   • 在"身份验证模式"下拉菜单中，选择 OIDC。

   • 填写 OIDC 提供商的信息，以下是几个关键配置项：

 

配置项	说明与示例
OIDC 提供商名称	在登录按钮上显示的名称，例如 "公司SSO"。
OIDC 提供商端点	提供商的 URL，例如 https://your-oidc-provider.com。
OIDC 客户端 ID	在 OIDC 提供商处注册时获得的 ID。
OIDC 客户端密钥	在 OIDC 提供商处注册时获得的密钥。
OIDC 范围	通常至少包含 openid，还可包括 profile, email, offline_access 等。
用户名声明	指定从 ID Token 的哪个声明中获取用户名。
自动加入	若启用，用户首次登录时会自动在 Harbor 创建账户。
OIDC 管理组	指定一个 OIDC 组，其成员在 Harbor 拥有管理员权限。

• 重要提示：配置完成后，强烈建议先点击 "测试 OIDC 服务器" 按钮来验证配置是否正确，然后再保存。

🚢 关于 CLI 访问

由于 Docker 或 Helm 等命令行工具无法处理 OIDC 的网页重定向流程，Harbor 为此提供了 CLI 密钥 功能。

• 用户登录 Harbor Web 界面后，可以在"用户个人资料"中生成或复制一个 CLI 密钥。

• 使用 docker login 时，将用户名填写为你的 OIDC 用户名，密码则使用这个 CLI 密钥即可。

💡 重要注意事项

• 模式切换限制：只有当 Harbor 数据库中没有除 admin 之外的本地用户时，才可以从数据库认证模式切换到 OIDC 模式。

• 用户管理：在 OIDC 模式下，用户的创建、删除、密码管理等操作均在外部身份提供商进行，Harbor 不支持这些功能。

• 会话注销：你可以选择配置"OIDC 会话注销"，使得用户从 Harbor 注销时，同时终止其在 OIDC 提供商端的会话。

希望这些信息能帮助你顺利完成 Harbor 的 OIDC 认证配置。如果你在配置过程中遇到关于特定 OIDC 提供商（如 Keycloak 或 Azure AD）的具体问题，可以进一步说明，我将尽力提供更详细的指引。