所有入口请求的验证代理

Question

我们想提供一个多租户应用程序，该应用程序根据子域确定租户。作为身份验证服务器，我们使用KeyCloak，其中每个租户都有自己的领域。

现在，我们要使用auth代理对我们的应用程序进行身份验证所有请求。如果请求已经进行了认证（它具有cookie），则应将请求转发给后端。如果尚未对请求进行身份验证（没有cookie），则应将请求转发到KeyCloak并根据子域的正确范围转发到正确的领域，并启动OAUTH流。成功登录后，应设置cookie，以便对所有后续请求进行身份验证。这正是 oauth2-proxy 提供的功能。但是，我们有进一步的要求，即我们有不同的领域来绘制单个租户的绘制。目前，OAuth2-Proxy是不可能的。

除了

谢谢

Answer 1

OIDC插件

您可以使用 lua-raesty-openidc 任何基于LUA的NGINX系统，例如Kong或Openrestys。这是一个已建立的插件，与OAuth2-Proxy的工作相同。对于不同的路径，您可以具有多个配置的实例，代表不同的租户：

location /tenant1/ {
    rewrite_by_lua_block {
        var opts = ... 
        local res, err = require("resty.openidc").authenticate(opts)
    }
}        
location /tenant2/ {
    rewrite_by_lua_block {
        var opts = ... 
        local res, err = require("resty.openidc").authenticate(opts)
    }
}

还有多种查看输入标准的方法，例如onect> onect header and Re-Route，可以很有用有时，尽管有学习曲线。

设计

我会质疑您的设计。多个领域有效地意味着您的应用需要处理多个授权服务器，这是一个复杂的设置。例如，API需要验证多种类型的访问令牌。

的租户2数据。

如果可能的话，更喜欢使用单个授权服务器的解决方案，然后只需添加租户ID声明以访问令牌，然后确保API拒绝访问租户2 ：//stackoverflow.com/questions/68909371/how-to-to-authenticate-users-from-different-realms-against-a-single-application>单个应用程序的多个领域如何访问数据。