تسجيل الدخول الموحّد

ضبط مزوّد الهوية

من إعدادات تسجيل الدخول، أدخلوا عنوان الجهة المُصدرة لدى مزوّد الهوية ومعرّف العميل وسرّه. نطاقات الطلب الافتراضية هي openid profile email groups. تُطابق قيمة سمة الدور، واسمها الافتراضي groups، مع خريطة أدوار تحددونها لإسناد دور المدير أو المشغّل أو المشاهد. ويمكن تحديد دور افتراضي لمن لا تطابق سماته أي بند. يحفظ زر الاختبار التغييرات ويتحقق من وثيقة اكتشاف مزوّد الهوية قبل اعتماد الاتصال.

تدعم النسخ المستضافة داخل بيئة العميل مزوّد هوية عبر OIDC مع PKCE. ويجب تأكيد الدخول الموحّد لمساحة العمل المستضافة وفق النشر المتفق عليه.

عنوان إعادة التوجيه

يأتي عنوانان من إعدادات النشر: عنوان إعادة التوجيه الذي يعيد إليه مزوّد الهوية المتصفح، وعنوان الوصول بعد تسجيل الدخول الذي تستكمل عنده لوحة الإدارة الجلسة. سجّلوا عنوان إعادة التوجيه لدى مزوّد الهوية كما هو، بما في ذلك المسار. عند تغيير العنوان العام للنشر، يُحدّث العنوانان دون إعادة تشغيل.

مسار تسجيل الدخول

ينقل خيار الدخول عبر مزوّد الهوية المتصفح إلى المزوّد مع تحدّي PKCE وقيمة حالة وقيمة تحقق فريدة لكل محاولة. بعد نجاح المصادقة، يعود المتصفح برمز تفويض يُستخدم مرة واحدة، دون وضع رمز وصول حامل للصلاحيات في العنوان. لذلك لا يمنح فتح الرابط في متصفح شخص آخر جلسة دخول. تستبدل لوحة الإدارة رمز التفويض على الخادم مرة واحدة، وتربطه بالجلسة التي بدأت المحاولة؛ وتُرفض إعادة استخدام الرمز.

يستخدم تسجيل الدخول عبر OIDC آليات PKCE و nonce و state، ويسلّم الجلسة برمز مرتبط بملف تعريف ارتباط لمرة واحدة — لا رمز حامل (bearer) في رابط أبداً.

مثال باستخدام Keycloak

تستخدم اختبارات القبول نطاق هوية فعلياً في Keycloak، دون محاكاة مزوّد الهوية. يتضمن إعداد الربط عنوان المُصدر https://idp.example.com/realms/<realm>، ومعرّف عميل تختارونه، وسمة groups مرتبطة بنطاق العميل. في المثال، يحصل عضو مجموعة admins على دور المدير، ويحصل المستخدم غير المنتمي إلى مجموعة على الدور الافتراضي المحدد. يظل الدخول المحلي بالبريد الإلكتروني وكلمة المرور متاحاً عند تفعيل الدخول الموحّد.