AWX-23.9 使用 SAML 对接 Keycloak-24 认证¶

1. 生成 SSL 证书¶

在任意 Linux 执行以下命令生成 SSL 证书：

openssl req -subj "/C=CN/ST=Beijing/L=Haidian/O=awx.hxp.lan/CN=awx.hxp.lan" -sha256 -newkey rsa:2048 -nodes -keyout key.pem -x509 -days 3650 -out certificate.pem

此 SSL 证书直接申请了 10 年有效期。记得在 10 年后更新。

2. 修改 AWX 配置¶

点击 设置 -> 杂项系统 ，修改 服务的基本 URL 为 AWX 的公网 URL：

3. 在 AWX 上配置 SAML 认证¶

点击 设置 -> SAML ，填写 Keycloak SAML 服务器配置：

3.1 SAML 服务提供商实体 ID¶

填写 awx-saml

3.2 SAML 服务提供商公共证书¶

上传生成的证书 certificate.pem

3.3 SAML 服务提供商私钥¶

上传生成的密钥 key.pem

3.4 SAML 服务提供商机构信息¶

填写以下内容：

{
  "en-US": {
    "displayname": "Keycloak",
    "name": "Keycloak",
    "url": "http://keycloak.hxp.lan:30081/"
  }
}

3.5 SAML 服务提供商技术联系人¶

填写以下内容：

{
  "emailAddress": "awx@example.com",
  "givenName": "awx"
}

3.6 SAML 服务提供商支持联系人¶

填写以下内容：

{
  "emailAddress": "awx@example.com",
  "givenName": "awx"
}

3.7 SAML 启用的身份提供商¶

填写以下内容：

{
  "Keycloak": {
    "attr_email": "email",
    "attr_first_name": "first_name",
    "attr_last_name": "last_name",
    "attr_user_permanent_id": "name_id",
    "attr_username": "username",
    "entity_id": "http://keycloak.hxp.lan:30081/realms/awx",
    "url": "http://keycloak.hxp.lan:30081/realms/awx/protocol/saml",
    "x509cert": "-----BEGIN CERTIFICATE-----MIIDaz*****X7Z-----END CERTIFICATE-----"
  }
}

x509cert 内容这样生成：

sed ':a;N;$!ba;s/\n//g' certificate.pem | sed 's/^-----BEGIN CERTIFICATE-----//;s/-----END CERTIFICATE-----$//'

3.8 SAML 机构映射¶

{
  "Default": {
    "users": true
  },
  "Keycloak": {
    "admins": [],
    "remove_admins": false,
    "remove_users": false,
    "users": true
  }
}