Authentik IdP

简介

单点登录（SSO）是一种技术，允许用户仅需登录一次，即可无需重复认证便能访问多个应用程序/服务。

SSO 始终通过身份提供商与服务提供商（简称IdP与SP）两个应用的协同运作来实现。ONLYOFFICE SSO 仅实现 SP 端功能。虽有多种提供商可作为IdP，本文重点探讨 Authentik 的实现方案。

在 Authentik 中创建 IdP

1. 登录到 Authentik 管理面板 (https://authentik.yourdomain.com/if/admin/)。
2. 转到自定义 -> 属性映射。
3. 点击创建 -> SAML 提供商属性映射。
4. 通过这种方式，创建3个具有以下参数的属性映射：

   名称	SAML属性名称	表达式
   SAML givenName 映射	givenName	return user.attributes["first_name"]
   SAML sn 映射	sn	return user.attributes["last_name"]
   SAML mail 映射	mail	return user.email

   如果在 Authentik 中为用户指定了属性，则必须配置此属性映射。如果属性不同，请将其替换为必要的属性；如果没有属性，则无需配置。

   
5. 转到提供商 -> 创建。
6. 选择 SAML 类型。
   
7. 填写以下字段：

   名称	Docspace SAML
   授权流程	default-provider-authorization-implicit-consent (授权应用)
   ACS URL	https://docspace.example.com/sso/acs
   发行者	https://docspace.example.com/sso/metadata
   服务提供商绑定	POST
   签名断言	true
   签名响应	true
   签名证书	首次可使用 authentik 自签名证书或替换为您自己的证书
   属性映射	如果您在步骤4中配置了属性，需要通过选择并点击右箭头将其从左列添加到右列

   
   
8. 点击完成。
9. 转到应用程序 -> 创建。
10. 填写以下字段：

    名称	Docspace SAML
    缩略名	docspace
    提供商	Select Docspace SAML
    策略引擎模式	any

11. 点击 创建。
    
12. 转到已创建的 SAML 提供商。
13. 找到元数据 URL 链接（通常为 https://authentik.example.com/application/saml/docspace/metadata.xml）
14. 复制此链接或下载 XML 文件。
    

配置 ONLYOFFICE SP

请确保您已以管理员身份登录 ONLYOFFICE 协作空间，然后转到设置菜单，选择集成部分，并打开单点登录选项卡。

1. 使用启用单点登录认证开关启用 SSO，并将复制的链接粘贴到 IdP 元数据 XML URL 字段中。
2. 点击向上箭头按钮加载 IdP 元数据。ONLYOFFICE SP 设置表单将自动填充来自 Authentik IdP 的数据。
3. 如果用户未配置属性且未执行步骤4，则必须在属性映射中指定以下参数：

   名字	http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name
   姓氏	http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name
   邮箱	http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

   
4. 在 SP 证书部分创建证书。为此，请在相应部分点击添加证书按钮。
   
5. 在打开的模态窗口中，点击生成新的自签名证书链接，并在用途列表中选择签名和加密选项。在保存证书之前，将公共证书文本复制到剪贴板并保存到文件中（这将用于Authentik），然后点击确定按钮。
   
   
6. 点击保存按钮。
7. 应打开 ONLYOFFICE SP 元数据部分，其中包含下载 SP 元数据 XML 按钮。
   
8. 返回 Authentik 以添加复制的证书。转到系统 -> 证书 -> 创建。
9. 输入任意名称并粘贴复制的证书。
   
10. 在提供商设置中指定此证书。
    

    如果需要加密，则在步骤8中需要创建一个带有私钥的证书，并在加密证书字段中指定该证书。

检查 ONLYOFFICE SP 与 Authentik IdP 的工作情况

1. 访问 ONLYOFFICE 协作空间认证页面（例如：https://myportal-address.com/login）。
   
2. 点击单点登录按钮。如果该按钮缺失，则表示 SSO 未启用。
3. 如果所有 SP 和 IdP 参数设置正确，我们将被重定向到 Authentik IdP 登录表单。
4. 输入 Authentik 用户的登录名和密码，然后点击登录按钮。
5. 如果凭据正确，我们将被重定向到门户主页（如果用户不存在将自动创建，或者如果 IDP 中的数据发生更改则会更新）。