配置 OpenID 身份提供程序

该部分讨论了 OpenID IdP 的一般要求，并提供了设置 OneLogin IdP 的分步程序。

DC/OS Enterprise 可与使用 OpenID Connect 1.0 的任何身份提供程序 (Idp) 集成。以下程序将采用 Google IdP 作为示例，并引导您完成设置流程的每个步骤。

添加 OpenID Connect 身份提供程序：

您可以在 Google 或 DC/OS 中添加 Google OpenID Connect IdP。

访问 Google Developer Console 的凭据页面.
如果您已经有项目，请单击 Select a Project，选择项目，然后单击 Open。

如果您还没有项目，请单击 Create a project，在 Project Name 框中键入项目名称，选择加入或退出电子邮件通信，接受服务条款，然后单击 Create。
在 Credentials 对话框中，选择 OAuth client ID。
单击 Configure consent screen。
下一个屏幕允许您提供一系列信息，以便在用户提供凭据时显示给用户。至少，您必须在 Product name shown to users 框中指定 IdP 的名称。
点击保存。
选择 Web 应用程序 作为 应用程序类型。
在 Name 框中键入 IdP 的名称。
将群集的 URL 粘贴到 Authorized Javascript origins框中。例如：

如果您的群集前端有负载均衡器（推荐），则群集 URL 将成为负载均衡器的路径。群集 URL 与 DC/OS UI 的路径相同，可从浏览器栏复制。或者，您可以登录到 DC/OS CLI 并键入 dcos config show core.dcos_url 以获取群集 URL。
将 /acs/api/v1/auth/oidc/callback 粘贴到 Authorized redirect URIs 字段中您群集 URL 的末尾处。例如：
单击 Create。

您可以使用以下任一方法来验证您是否已正确设置 IdP。

您应该在登录对话框中看到一个新按钮，该按钮显示 LOGIN WITH GOOGLE。
您将被重定向至 Google。
单击以允许 DC/OS 访问您的 Google 帐户信息。
您应该看到来自 DC/OS 的访问被拒绝消息。这表示登录成功，用户账户已添加到 DC/OS，但新用户没有权限，因此无法查看 DC/OS Web UI 中的任何内容。
单击 LOG OUT。
使用权限以用户身份重新登录。
打开 Organization -> Users 选项卡。
您应该看到所列的新用户。
为此用户分配适当的.

先决条件：已安装 DC/OS CLI.