Mendix 使用OIDC组件实现SSO｜Azure Microsoft Entra ID 集成(原名：AD)

引言

在快节奏的软件开发领域，Mendix作为一款领先的低代码开发平台，为企业提供了快速构建、部署和迭代应用程序的能力。这种灵活性和效率使得Mendix成为了推动数字化转型的强大工具。随着企业应用数量的激增，单点登录（SSO）成为了提升用户体验和安全性的关键技术。通过SSO，用户可以使用一组凭证，安全地访问多个系统和应用，从而大大提高了工作效率和数据安全性。

在本文中，我们将深入探讨如何利用Mendix和OpenID Connect（OIDC）组件实现与Azure Active Directory（AD）的无缝集成，从而启用Azure SSO。我们将通过详细的配置步骤指导开发人员完成整个过程，确保您能够顺利实现系统的SSO功能。

什么是OIDC和Azure SSO

OIDC（OpenID Connect）

OpenID Connect（OIDC）是基于OAuth 2.0协议之上的一个身份层，它允许应用程序进行身份验证服务，即确认用户是谁。OIDC引入了一个ID令牌（ID Token），这是一个JSON Web Token（JWT），包含了用户的身份信息。通过OIDC，应用程序可以请求并接收关于用户的信息，并在用户授权的情况下，访问用户在其他应用中的资源。

Azure SSO（Microsoft Entra ID）

Azure单点登录（SSO）是一种基于Azure Active Directory（已经改名：Microsoft Entra ID）的服务，它允许用户使用一个账户登录多个应用程序或服务。借助Azure SSO，企业可以简化用户的登录流程，提高安全性，并减少密码相关的支持请求。Azure SSO通过利用标准协议，如SAML 2.0、OAuth 2.0和OIDC，实现与各种第三方应用和服务的集成。

配置Mendix以使用Azure SSO

准备工作

在开始配置之前，需要确保以下准备工作已经完成：

Azure 的准备：

1. 拥有一个Azure账户并能够访问Azure Active Directory。
2. 确保你有足够的权限在Azure AD中注册新的应用程序。

Mendix项目的准备：

1. 一个已经创建好的Mendix项目。
2. 对Mendix项目有足够的权限，以安装和配置模块。

步骤一：在Azure中注册应用

1、登录到Azure门户，并导航到Azure Active Directory。

2、 在左侧菜单中选择"App registrations”，然后点击"New registration"。

3、 填写应用的名称，选择支持的账户类型，设置重定向URI（Web类型），这将用于OIDC响应。

4、完成注册并记下应用的（客户端ID）和（租户ID）。

5、 添加Certificates & secrets。

步骤二：配置Mendix OIDC模块

1、在Mendix项目中，通过Mendix Marketplace安装OIDC模块。

该OIDC模块需要依赖以下模块（必须安装）：

• Encryption – see Encryption documentation
• Community Commons – see Community Commons documentation
• Nanoflow Commons – see Nanoflow Commons documentation
• Mx Model reflection – see Mx Model Reflection documentation

2、配置 Mx Model Reflection

在 App Explorer, 添加MxModelReflection 模块的 MxObjects_Overview 页面导航菜单

3、运行Mendix App，配置MxModelReflection 和OIDC。

4、配置OIDC的角色信息

5、设置应用的，允许Anonymous用户。

6、添加OIDC 配置页面和导航，OIDC_Client_Overview。

7、自定义登录页面，并且在页面中添加SSO按钮。

SSO 按钮设置到OIDC 的 Login_Web_Button 的页面中，用于选择SSO的身份认证服务。

步骤三：配置 OIDC Provider

1、运行Mendix 应用程序，打开OIDC client 页面, 并且新建OpenID Provider。

2、填写General 信息，填写Alias 和Client ID。

Client ID：在Azure 配置的Application ID。

3、填写Automatic Configuration URL，配置OIDC Provider 的Endpoints相关信息。

提示：填入URL地址之后，单击Import Configuration会自动导入相关的配置信息。

Automatic Configuration URL，可以在Azure 的【Endpoints】里面获取，如下图：

4、添加Scopes信息。

5、单击保存，即可完成配置。

步骤四：验证和测试

1. 在Mendix中完成配置后，进行登录测试以验证SSO配置。
2. 调试任何可能出现的问题，确保流程顺畅。

常见问题与解决方案

问题一：回调URL不匹配

现象：尝试登录时，出现错误提示，指出回调URL不匹配。

解决方案：

• 请检查Azure AD应用注册中的重定向URI设置，确保其与Mendix中OIDC模块配置的回调URL完全一致。
• 确保在Mendix OIDC模块配置中没有多余的斜杠（/）或拼写错误。

问题二：客户端ID或租户ID配置错误

现象：无法成功进行SSO认证，提示关于认证信息的错误。

解决方案：

• 重新检查Azure AD应用注册信息，确认客户端ID和租户ID是否正确录入Mendix OIDC模块配置。
• 确保复制粘贴时不包含任何额外空格或不可见字符。

问题三：权限不足

现象：用户无法访问某些资源或服务，显示权限不足的错误。

解决方案：

• 检查Azure AD中的应用权限设置，确保您的应用有权访问所需的资源。
• 在Mendix应用中正确配置用户角色和权限，确保它们与Azure AD中的设置相匹配。

结论

通过在Mendix应用程序中实施Azure SSO，开发人员可以为用户提供一个安全、便捷的登录体验。SSO不仅减少了用户需要记住的密码数量，降低了忘记密码的风险，还提高了安全性，因为它减少了密码泄露的可能性，并允许集中管理用户凭证和访问权限。

此外，使用Azure AD和OIDC组件实现SSO，可以让Mendix应用无缝集成进企业的IT生态系统中，确保了企业策略和合规性的一致性。通过遵循本文的指导步骤，开发人员可以顺利地配置和部署SSO功能，从而提升用户满意度和生产效率。

希望这篇博客能够帮助你顺利实现Mendix应用的SSO集成。如果在配置过程中遇到任何问题，不妨回顾本文的常见问题解决方案，或者寻求来自Mendix社区和Azure文档的进一步帮助。

感谢阅读，祝您配置顺利！

额外资源和学习材料

为了进一步帮助您和其他读者，我们将提供一些额外的资源和学习材料，这些资源可以帮助您深入了解Mendix、OIDC和Azure SSO的集成：

1. Mendix官方文档：Mendix提供了丰富的官方文档，包括如何开始新项目、如何使用各种模块以及如何部署和管理您的应用程序等。
   • Mendix Documentation
2. Azure Active Directory文档：Microsoft提供了详细的文档来帮助您了解Azure Active Directory，包括如何注册应用程序、如何配置SSO以及如何管理用户和组。
   • Azure Active Directory Documentation
3. OpenID Connect官网：OIDC是一个基于OAuth 2.0的身份验证协议，其官网提供了有关协议的详细信息，包括技术规范和实施指南。
   • OpenID Connect
4. Mendix社区和论坛：Mendix社区是一个活跃的平台，开发人员可以在这里分享经验、提出问题和寻求帮助。
   • Mendix Community
5. Microsoft Azure培训和认证：Microsoft提供了广泛的培训材料和认证课程，帮助您更深入地了解Azure服务，包括Azure Active Directory和多种与安全性相关的服务。
   • Microsoft Azure Training