azure - 如何使用 Nginx 和 Microsoft Azure AD 进行身份验证？

Question

我需要有一种舒适的方式来允许特定用户使用 Nginx 从 AAD 到上游应用程序进行身份验证。我找到了一些信息:

• AAD 不支持 LDAP -> 无论如何，它的杀伤力太大了​​。所以 ldap 对我来说是最后的解决方案

• bitly 的 Oauth2_proxy 工作正常，仅适用于特定的用户列表必须在文件中(就地)进行编辑。有公开 PR 来支持群组访问 https://github.com/bitly/oauth2_proxy/pull/347 ，但似乎现在不支持 oauth2_proxy。 -> 那很好，因为我可以在 AAD 中管理用户访问。

• 有教程如何在 nginx 中设置 JWT token https://www.nginx.com/blog/conditional-access-control-with-microsoft-azure-active-directory/-> 但仅限付费版本的 nginx

• openresty有很多lua脚本 https://github.com/SkyLothar/lua-resty-jwt ，但他们是嗯，大多数情况下不维护。

编辑:也许这是 nginx 的第 3 方 jwt foss 模块 https://github.com/TeslaGov/ngx-http-auth-jwt-module

编辑2:openresty 的 lua-resty-openidc 看起来很棒，甚至维护得很好。仅缺少 Azure 示例。

编辑3:我想知道是否可以使用

AAD -> Keycloak -> Keycloak 代理 -> Nginx(auth_request 到 keycloak 代理)

？

有没有可靠的替代方案？谢谢

Answer 1

我不熟悉 AAD，但如果您已经在您的环境中授权了客户端，那么 Nginx auth request module是将上游服务的身份验证委托(delegate)给现有授权服务器的一种非常简单的方法。

Nginx 中的示例指令:

location /upstream/ {
    auth_request /auth;
    ...
}

location = /auth {
    proxy_pass http://your-auth-server:1234;
    proxy_pass_request_body off;
    proxy_set_header Content-Length "";
    proxy_set_header X-Real-Ip $remote_addr;
    proxy_set_header X-Authorization $http_authorization;
}

Nginx 将为每个到/upstream/的客户端请求向/auth 发出内部子请求，您将其代理到您的身份验证服务器，并传递授权客户端请求所需的任何信息。在此示例中，客户端 IP 及其授权 header 。

您的身份验证服务器执行该操作，然后如果您想允许访问，则使用 http 代码 200 进行响应，如果不允许，则使用 401/403 进行响应。 Nginx 然后根据响应代码允许或拒绝客户端请求。