在 API Manager 中创建 OIDC 用户注册表

apic login --server mgmt_endpoint_url --username user_id --password password --realm provider/identity_provider

apic identity-providers:list --scope provider --server platform_api_endpoint_url --fields title,realm

apic identity-providers:list --scope provider --server platform_api_endpoint_url --fields title,realm 
total_results: 2
results:
  - title: API Manager User Registry
    realm: provider/default-idp-2
  - title: Corporate LDAP user registry
    realm: provider/corporate-ldap

title: registry_title
integration_url: oidc_integration_url
case_sensitive: case_sensitivity_setting
email_required: true_or_false
email_unique_if_exist: true_or_false
configuration:
  client_id: 'app_client_id'
  client_secret: 'my-client-secret'
  provider_type: oidc_provider_type

• registry_title 是您为用户注册表选择的描述性标题。
• oidc_integration_url 是 API Connect 配置中的 OIDC 集成 URL。 您可以使用以下 CLI 命令确定 OIDC 集成 URL：

  apic integrations:list --server mgmt_endpoint_url --subcollection user-registry

• case_sensitivity_setting 确定用户注册表是否区分大小写。 有效值为：
  • true
  • false
  为确保正确处理用户名的大小写，请确保此处的大小写敏感性设置与后端 OIDC 提供商的设置一致：
  • 仅当后端 OIDC 提供商支持 true 区分大小写时，才将其设置 case_sensitive 为。
  • 如果后端 OIDC 提供程序不支持区分大小写，请将 case_sensitive 设置为 false。
  注意： 在注册表中添加至少一名用户后，您将无法更改此设置。
• email_required 确定在用户加入过程中是否需要电子邮件地址。 有效值为：
  • true
  • false
  如果设置为 true，那么在加载期间，源身份提供者必须在认证过程中提供电子邮件地址。
  注意： 默认情况下，注册 Cloud Manager 或 API Manager 时无需提供电子邮件地址，但注册 Consumer Catalog 时必须提供。
• email_unique_if_exist 确定电子邮件地址在用户注册表中是否必须唯一。 有效值为：
  • true
  • false
  注意： 消费者目录中的每个账户（包括同一站点下不同用户注册表中的账户）都必须拥有一个唯一的电子邮件地址，站点管理员账户也不例外。
• app_client_id 是向 OIDC 服务器注册的应用程序的客户机标识，必须为字符串格式。
• my-client-secret 是向 OIDC 服务器注册的应用程序的客户机密钥，必须为字符串格式。
• oidc_provider_type 是 OIDC 提供程序的类型；请指定下列其中一个值：
  • facebook
  • github
  • google
  • linkedin
  • slack
  • twitter
  • windows_live
  • standard
    注：

    • 如果 OIDC 提供者为 X (以前称为 Twitter) ，请使用 twitter 提供者类型。
    • 对任何符合 OIDC 标准的 OIDC 提供程序使用 standard 提供者类型。
      如果提供者类型为 standard，那么必须在 YAML 文件的 configuration 部分中包含以下附加属性：

      authorization_endpoint: 'oidc_auth_endpoint'
      token_endpoint:
        endpoint: 'oidc_token_endpoint'

      其中：

      • oidc_auth_endpoint 是 OIDC 服务器上的授权端点，必须为字符串格式。
      • oidc_token_endpoint 是 OIDC 服务器上的令牌端点，必须为字符串格式。

• 脸书

  authorization_endpoint: 'https://www.facebook.com/v3.1/dialog/oauth'
  token_endpoint:
    endpoint: 'https://graph.facebook.com/v3.1/oauth/access_token'
  userinfo_endpoint:
    endpoint: 'https://graph.facebook.com/me'
  scope: email public_profile
  field_mapping:
    username: email
    email: email
    last_name: last_name
    first_name: first_name

• GitHub

  authorization_endpoint: 'https://github.com/login/oauth/authorize'
  token_endpoint:
    endpoint: 'https://github.com/login/oauth/access_token'
  userinfo_endpoint:
    endpoint: 'https://api.github.com/user'
  scope: 'read:user user:email'
  field_mapping:
    username: login
    email: email
    last_name: name
    first_name: name

• Google

  authorization_endpoint: 'https://accounts.google.com/o/oauth2/v2/auth'
  token_endpoint:
    endpoint: 'https://www.googleapis.com/oauth2/v4/token'
  scope: openid profile email
  field_mapping:
    username: email
    email: email
    last_name: family_name
    first_name: given_name
  

• LinkedIn

  旧配置与较新配置之间的某些设置有所不同。 确保对您正在使用的 LinkedIn 协议使用正确的设置。

  • 新的 OIDC 协议:

    authorization_endpoint: 'https://www.linkedin.com/oauth/v2/authorization'
      credential_location: form_body
      field_mapping:
        email: email
        username: name
        first_name: given_name
        last_name: family_name
      scope: openid profile email
      token_endpoint:
        endpoint: 'https://www.linkedin.com/oauth/v2/accessToken'
      userinfo_endpoint:
        endpoint: 'https://api.linkedin.com/v2/me'

  • 旧 OIDC 协议:

    authorization_endpoint: 'https://www.linkedin.com/oauth/v2/authorization'
    token_endpoint:
      endpoint: 'https://www.linkedin.com/oauth/v2/accessToken'
    userinfo_endpoint:
      endpoint: 'https://api.linkedin.com/v2/me'
    email_endpoint:
      endpoint: 'https://api.linkedin.com/v2/emailAddress?q=members&projection=(elements*(handle~))'
    scope: r_liteprofile r_emailaddress
    field_mapping:
      username: emailAddress
      email: emailAddress
      last_name: localoizedLastName
      first_name: localizedFirstName
    credential_location: form_body

• Slack

  authorization_endpoint: 'https://slack.com/oauth/authorize'
  token_endpoint:
    endpoint: 'https://slack.com/api/oauth.access'
  userinfo_endpoint:
    endpoint: 'https://slack.com/api/users.identity'
  scope: identity.basic identity.email
  field_mapping:
    username: user.email
    email: user.email
    last_name: user.name
    first_name: user.name

• X (以前称为 Twitter)

  request_endpoint: https://api.x.com/oauth/request_token'
  authorization_endpoint: https://api.x.com/oauth/authenticate'
  token_endpoint: 
      endpoint: 'https://api.x.com/oauth/access_token'
  userinfo_endpoint:
      endpoint: 'https://api.x.com/1.1/account/verify_credentials.json'
  oauth_signature_method: 'HMAC-SHA1'
  field_mapping: 
      email: email
      first_name: name
      last_name: name
      username: screen_name

• Windows Live

  authorization_endpoint: 'https://login.microsoftonline.com/common/oauth2/v2.0/authorize'
  token_endpoint:
    endpoint: 'https://login.microsoftonline.com/common/oauth2/v2.0/token'
  scope: openid offline_access profile email
  field_mapping:
    email: email
    username: preferred_username
    first_name: name
    last_name: name
  

• 标准

  
  response_type: code
  scope: openid
  field_mapping:
    username: sub
    email: email
    last_name: family_name
    first_name: given_name
  credential_location: auth_header

  虽然这是 standard 提供者类型的缺省配置，但您应该联系您的 OIDC 提供程序以获取需要定义的字段的详细信息。

apic user-registries:create --server mgmt_endpoint_url --org organization_name oidc_config_file

• mgmt_endpoint_url 是平台 API 端点 URL。
• organization_name 是提供者组织的 name 属性值。
• oidc_config_file 是用于定义 OIDC 用户注册表配置的 YAML 文件的名称。

registry_name registry_url

apic user-registries:get --server mgmt_endpoint_url --org organization_name registry_name --output -

consumer:
  oidc_redirect_uri: https://consumer.mycompany.com/consumer-api/oauth2/redirect

1. 使用以下命令来确定 OIDC 用户注册表的 URL：

   apic user-registries:list --server mgmt_endpoint_url --org organization_name

2. 请输入以下命令（终止连字符表示此命令从命令行接受输入）：

   apic configured-catalog-user-registries:create --server mgmt_endpoint_url --org organization_name --catalog catalog_name -

   其中 catalog_name 是name所需目录的属性。 该命令显示

   Reading CONFIGURED_CATALOG_USER_REGISTRY_FILE arg from stdin

3. 输入以下数据，后接新的一行：

   user_registry_url: oidc_registry_url

   其中 oidc_registry_url 是在步骤 1 中获取的 OIDC 注册表 URL。
4. 按下 CTRL D 以停止输入。