Authelia与Argo CD的OpenID Connect集成指南-CSDN博客

本文链接：https://blog.csdn.net/gitblog_00713/article/details/148361583

Authelia与Argo CD的OpenID Connect集成指南

authelia The Single Sign-On Multi-Factor portal for web apps 项目地址: https://gitcode.com/gh_mirrors/au/authelia

前言

在现代DevOps实践中，持续交付工具链的安全性至关重要。本文将详细介绍如何将Authelia作为OpenID Connect(OIDC)身份提供者与Argo CD进行集成，为您的GitOps工作流提供强大的身份认证保障。

版本兼容性

Authelia版本: v4.38.0
Argo CD版本: v2.4.5

核心概念

为什么需要集成OIDC？

OpenID Connect是基于OAuth 2.0协议的身份认证层，它允许应用验证用户身份并获取基本用户信息。通过将Authelia作为OIDC提供者与Argo CD集成，您可以：

实现统一的身份认证体系
启用多因素认证(MFA)保护
集中管理用户权限
简化用户登录流程

配置准备

在开始配置前，请确保您已具备以下条件：

已部署并配置好Authelia服务
已安装Argo CD
了解基本的YAML配置语法

假设环境

本文示例基于以下假设环境：

Authelia服务地址: https://auth.example.com/
Argo CD应用地址: https://argocd.example.com/
客户端ID: argocd
客户端密钥: insecure_secret
CLI客户端ID: argocd-cli

Authelia配置详解

客户端配置

在Authelia的配置文件中，我们需要添加两个客户端配置：

Web界面客户端：用于浏览器访问
CLI客户端：用于命令行工具操作

identity_providers:
  oidc:
    clients:
      - client_id: 'argocd'
        client_name: 'Argo CD'
        client_secret: '$pbkdf2-sha512$310000$c8p78n7pUMln0jzvd4aK4Q$JNRBzwAo0ek5qKn50cFzzvE9RXV88h1wJn5KGiHrD0YKtZaR/nCb2CJPOsKaPK0hjf.9yHxzQGZziziccp6Yng'
        public: false
        authorization_policy: 'two_factor'
        require_pkce: true
        pkce_challenge_method: 'S256'
        redirect_uris:
          - 'https://argocd.example.com/auth/callback'
          - 'https://argocd.example.com/pkce/verify'
        scopes:
          - 'openid'
          - 'groups'
          - 'email'
          - 'profile'
        userinfo_signed_response_alg: 'none'
        token_endpoint_auth_method: 'client_secret_basic'
      - client_id: 'argocd-cli'
        client_name: 'Argo CD (CLI)'
        public: true
        authorization_policy: 'two_factor'
        require_pkce: true
        pkce_challenge_method: 'S256'
        redirect_uris:
          - 'http://localhost:8085/auth/callback'
        scopes:
          - 'openid'
          - 'groups'
          - 'email'
          - 'profile'
          - 'offline_access'
        userinfo_signed_response_alg: 'none'

关键配置说明

client_secret：使用PBKDF2算法加密的客户端密钥
authorization_policy：设置为'two_factor'启用双因素认证
require_pkce：启用PKCE(Proof Key for Code Exchange)增强安全性
scopes：定义请求的权限范围，包括用户基本信息、群组信息等

Argo CD配置详解

配置文件方式

Argo CD支持通过配置文件配置OIDC集成，通常配置文件名为argocd-cm.yaml。

oidc.config: |
  name: 'Authelia'
  issuer: 'https://auth.example.com'
  clientID: 'argocd'
  clientSecret: 'insecure_secret'
  cliClientID: 'argocd-cli'
  requestedScopes:
    - 'openid'
    - 'profile'
    - 'email'
    - 'groups'