python - 将OpenID/Keycloak与Superset结合使用

我想使用keycloak在我们的Superset环境中对我的用户进行身份验证。

Superset使用flask-openid，如flask-security中所实现:

http://flask-appbuilder.readthedocs.io/en/latest/_modules/flask_appbuilder/security/manager.html

要启用与常规身份验证(数据库)不同的用户身份验证，您需要在superset_config.py文件中覆盖AUTH_TYPE参数。您还需要提供对您的openid-connect领域的引用，并启用用户注册。据我了解，它应该看起来像这样:

from flask_appbuilder.security.manager import AUTH_OID
AUTH_TYPE = AUTH_OID
OPENID_PROVIDERS = [
    { 'name':'keycloak', 'url':'http://localhost:8080/auth/realms/superset' }
]
AUTH_USER_REGISTRATION = True
AUTH_USER_REGISTRATION_ROLE = 'Gamma'

使用此配置，登录页面将变为提示，用户可以在其中选择所需的OpenID提供程序(在本例中为 key 斗篷)。我们还有两个按钮，一个用于登录(针对现有用户)，另一个用于注册为新用户。

我希望这些按钮中的任何一个都可以将我带到我的 keystore 登录页面。但是，这不会发生。相反，我被重定向回了
登录页面。

如果我按下注册按钮，则会收到一条消息，提示“目前无法注册，请稍后再试”。当我按下登录按钮时，没有消息显示。 Superset日志显示加载登录页面的请求，但不显示对 key 斗篷的请求。我已经使用Google OpenID提供程序尝试了同样的方法，效果很好。

由于我没有看到对 key 斗篷的任何请求，因此使我认为我在某处缺少配置设置，或者使用了错误的设置。您能帮我弄清楚我应该使用哪些设置吗？

最佳答案

更新03-02-2020
@ s.j.meyer写了an updated guide which works with Superset 0.28.1 and up。我自己还没有尝试过，但是感谢@nawazxy确认此解决方案有效。

我设法解决了自己的问题。主要问题是由我对超集使用的flask-openid插件的错误假设引起的。该插件实际上支持OpenID 2.x，但不支持OpenID-Connect(由Keycloak实现的版本)。
作为解决方法，我决定切换到flask-oidc插件。切换到新的身份验证提供程序实际上需要进行一些挖掘工作。要集成插件，我必须遵循以下步骤:
为keycloak配置flask-oidc
不幸的是，flask-oidc不支持Keycloak生成的配置格式。相反，您的配置应如下所示:

{
    "web": {
        "realm_public_key": "<YOUR_REALM_PUBLIC_KEY>",
        "issuer": "http://<YOUR_DOMAIN>/auth/realms/<YOUR_REALM_ID>",
        "auth_uri": "http://<YOUR_DOMAIN>/auth/realms/<YOUR_REALM_ID>/protocol/openid-connect/auth",
        "client_id": "<YOUR_CLIENT_ID>",
        "client_secret": "<YOUR_SECRET_KEY>",
        "redirect_urls": [
            "http://<YOUR_DOMAIN>/*"
        ],
        "userinfo_uri": "http://<YOUR_DOMAIN>/auth/realms/<YOUR_REALM_ID>/protocol/openid-connect/userinfo",
        "token_uri": "http://<YOUR_DOMAIN>/auth/realms/<YOUR_REALM_ID>/protocol/openid-connect/token",
        "token_introspection_uri": "http://<YOUR_DOMAIN>/auth/realms/<YOUR_REALM_ID>/protocol/openid-connect/token/introspect"
    }
}

Flask-oidc希望配置位于文件中。我已经将我的存储在client_secret.json中。您可以在superset_config.py中配置配置文件的路径。
扩展安全管理器
首先，您将要确保 flask 停止使用flask-openid，而广告开始使用flask-oidc。为此，您将需要创建自己的安全管理器，该管理器将flask-oidc配置为其身份验证提供程序。我已经实现了我的安全管理器，如下所示:

from flask_appbuilder.security.manager import AUTH_OID
from flask_appbuilder.security.sqla.manager import SecurityManager
from flask_oidc import OpenIDConnect

class OIDCSecurityManager(SecurityManager):

def __init__(self,appbuilder):
    super(OIDCSecurityManager, self).__init__(appbuilder)
    if self.auth_type == AUTH_OID:
        self.oid = OpenIDConnect(self.appbuilder.get_app)
    self.authoidview = AuthOIDCView

要在Superset中启用OpenID，您以前必须将身份验证类型设置为AUTH_OID。我的安全管理器仍然执行父类(super class)的所有行为，但是用OpenIDConnect对象覆盖oid属性。此外，它用自定义 View 替换默认的OpenID身份验证 View 。我已经实现了我的这样的:

from flask_appbuilder.security.views import AuthOIDView
from flask_login import login_user
from urllib import quote

class AuthOIDCView(AuthOIDView):

@expose('/login/', methods=['GET', 'POST'])
def login(self, flag=True):

    sm = self.appbuilder.sm
    oidc = sm.oid

    @self.appbuilder.sm.oid.require_login
    def handle_login():
        user = sm.auth_user_oid(oidc.user_getfield('email'))

        if user is None:
            info = oidc.user_getinfo(['preferred_username', 'given_name', 'family_name', 'email'])
            user = sm.add_user(info.get('preferred_username'), info.get('given_name'), info.get('family_name'), info.get('email'), sm.find_role('Gamma'))

        login_user(user, remember=False)
        return redirect(self.appbuilder.get_url_for_index)

return handle_login()

@expose('/logout/', methods=['GET', 'POST'])
def logout(self):

    oidc = self.appbuilder.sm.oid

    oidc.logout()
    super(AuthOIDCView, self).logout()
    redirect_url = request.url_root.strip('/') + self.appbuilder.get_url_for_login

    return redirect(oidc.client_secrets.get('issuer') + '/protocol/openid-connect/logout?redirect_uri=' + quote(redirect_url))

我的 View 覆盖了/login和/logout端点上的行为。登录时，将运行handle_login方法。它要求用户由OIDC提供程序进行身份验证。在我们的案例中，这意味着用户将首先被重定向到Keycloak进行登录。
进行身份验证时，用户将被重定向回Superset。接下来，我们查询是否可以识别用户。如果没有，我们将基于他们的OIDC用户信息创建用户。最后，我们将用户登录到Superset，然后将他们重定向到登录页面。
在注销时，我们将需要使这些cookie无效:

超集 session

OIDC token

Keycloak设置的cookie

默认情况下，Superset只处理第一个。扩展的注销方法可以照顾到所有这三点。
配置超集
最后，我们需要在superset_config.py中添加一些参数。这是我配置我的方式:

'''
AUTHENTICATION
'''
AUTH_TYPE = AUTH_OID
OIDC_CLIENT_SECRETS = 'client_secret.json'
OIDC_ID_TOKEN_COOKIE_SECURE = False
OIDC_REQUIRE_VERIFIED_EMAIL = False
CUSTOM_SECURITY_MANAGER = OIDCSecurityManager
AUTH_USER_REGISTRATION = True
AUTH_USER_REGISTRATION_ROLE = 'Gamma'

关于python - 将OpenID/Keycloak与Superset结合使用，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/47678321/