Что это такое?
Dex — это сервис идентификации, который управляет аутентификацией для других приложений по протоколу OpenID Connect. Через подключаемые 'коннекторы' он передаёт вход в LDAP, SAML или провайдерам вроде GitHub и Google, поэтому клиентам достаточно один раз написать логику аутентификации.
Dex — это сервис идентификации, который управляет аутентификацией для других приложений по протоколу OpenID Connect. Через подключаемые 'коннекторы' он передаёт вход в LDAP, SAML или провайдерам вроде GitHub и Google, поэтому клиентам достаточно один раз написать логику аутентификации.Так dex — это полноценный продукт для управления учётными записями или прослойка перед провайдерами, которые у меня уже есть?Это федеративный OIDC-провайдер: учётные записи пользователей обычно хранятся выше по цепочке — в LDAP-каталоге, организации GitHub или в SAML, а dex выступает прослойкой между вашим приложением и этим провайдером, выпуская подписанные токены, которые и используют клиенты.
Это федеративный OIDC-провайдер: учётные записи пользователей обычно хранятся выше по цепочке — в LDAP-каталоге, организации GitHub или в SAML, а dex выступает прослойкой между вашим приложением и этим провайдером, выпуская подписанные токены, которые и используют клиенты.Как запустить dex у себя?Это сервер на Go: соберите его командой make или запустите опубликованный Docker-образ. README отсылает к официальной документации — там есть руководства по началу работы, настройке и использованию.
Это сервер на Go: соберите его командой make или запустите опубликованный Docker-образ. README отсылает к официальной документации — там есть руководства по началу работы, настройке и использованию.Перед какими провайдерами идентификации он может стоять?15 коннекторов: LDAP, GitHub, GitLab, Gitea, SAML 2.0, универсальный OpenID Connect (покрывает Salesforce, Azure и подобные) и OAuth 2.0, Google, LinkedIn, Microsoft, AuthProxy, Bitbucket Cloud, OpenShift, Atlassian Crowd и OpenStack Keystone.
15 коннекторов: LDAP, GitHub, GitLab, Gitea, SAML 2.0, универсальный OpenID Connect (покрывает Salesforce, Azure и подобные) и OAuth 2.0, Google, LinkedIn, Microsoft, AuthProxy, Bitbucket Cloud, OpenShift, Atlassian Crowd и OpenStack Keystone.Все ли эти коннекторы одинаково надёжны?Нет. Каждый помечен статусом stable, beta или alpha, и возможности различаются — например, SAML 2.0, несмотря на статус stable, сопровождается предупреждением, что он не поддерживается и, вероятно, уязвим к обходу аутентификации.
Нет. Каждый помечен статусом stable, beta или alpha, и возможности различаются — например, SAML 2.0, несмотря на статус stable, сопровождается предупреждением, что он не поддерживается и, вероятно, уязвим к обходу аутентификации.Где работает dex — обязательно ли иметь Kubernetes?Kubernetes — основной сценарий, но не обязательное условие: dex нативно запускается в любом кластере через CRD и может управлять аутентификацией API-сервера через OIDC-плагин. Клиенты вроде kubectl и kubelogin затем могут действовать от имени пользователей, вошедших через любой подключённый провайдер.
Kubernetes — основной сценарий, но не обязательное условие: dex нативно запускается в любом кластере через CRD и может управлять аутентификацией API-сервера через OIDC-плагин. Клиенты вроде kubectl и kubelogin затем могут действовать от имени пользователей, вошедших через любой подключённый провайдер.Что приложение реально получает после успешного входа?ID Token — главная особенность dex. Это подписанный dex JSON Web Token со стандартными claims: какое клиентское приложение выполнило вход, когда токен истекает и кто этот пользователь. Другие сервисы могут использовать эти токены как учётные данные для обмена между сервисами; Kubernetes и AWS STS уже так делают.
ID Token — главная особенность dex. Это подписанный dex JSON Web Token со стандартными claims: какое клиентское приложение выполнило вход, когда токен истекает и кто этот пользователь. Другие сервисы могут использовать эти токены как учётные данные для обмена между сервисами; Kubernetes и AWS STS уже так делают.Каждый ли вход даст моему приложению refresh-токен?Нет — ограничения протоколов выше по цепочке наследуются. У SAML нет неинтерактивного способа обновлять утверждения, поэтому dex не выдаст refresh-токен для входа через SAML, а LDAP, GitHub, GitLab и большинство других коннекторов — выдадут. Сценариям с офлайн-доступом, таким как kubectl, нужен коннектор с поддержкой refresh.
Нет — ограничения протоколов выше по цепочке наследуются. У SAML нет неинтерактивного способа обновлять утверждения, поэтому dex не выдаст refresh-токен для входа через SAML, а LDAP, GitHub, GitLab и большинство других коннекторов — выдадут. Сценариям с офлайн-доступом, таким как kubectl, нужен коннектор с поддержкой refresh.Зачем вообще ставить dex перед моим LDAP или GitHub?Потому что клиенты пишут логику аутентификации один раз — для общения с dex, а dex реализует протоколы для каждого бэкенда — смена провайдера или добавление нового означает правку конфигурации dex, а не переписывание каждого приложения.
Потому что клиенты пишут логику аутентификации один раз — для общения с dex, а dex реализует протоколы для каждого бэкенда — смена провайдера или добавление нового означает правку конфигурации dex, а не переписывание каждого приложения.Умеет ли он federate с Azure AD или Salesforce?Да, через универсальный коннектор OpenID Connect (beta), который, как сказано в README, покрывает провайдеров вроде Salesforce и Azure; также есть универсальный коннектор OAuth 2.0 в статусе alpha.
Да, через универсальный коннектор OpenID Connect (beta), который, как сказано в README, покрывает провайдеров вроде Salesforce и Azure; также есть универсальный коннектор OAuth 2.0 в статусе alpha.Which topics is it in?identity-management, saml, ldap, oidc, jwt, sso, oauth2, cloud-native, oauth, authentication, kubernetes, hacktoberfest
identity-management, saml, ldap, oidc, jwt, sso, oauth2, cloud-native, oauth, authentication, kubernetes, hacktoberfest