3keycompany/czertainly-auth

CZERTAINLY Auth Service

此仓库是商业开源项目 CZERTAINLY 的一部分。有关该项目的更多信息，请访问 https://github.com/CZERTAINLY/CZERTAINLY 仓库，包括贡献指南。

Auth 服务设计为中央服务，用于管理对不同资源及相关操作和对象的访问控制，并基于身份令牌识别用户。

功能特性

Auth 服务提供以下功能：

• 用户身份识别
• 角色管理
• 用户及其角色成员关系管理
• 资源及相关操作管理
• 特定资源和相关操作的角色权限管理
• 授权令牌签发

用户可属于多个角色，此时权限将从所有已分配角色中合并。

注意 授权由 OPA（Open Policy Agent）执行。Auth 服务负责管理用户、角色以及可分配给用户的关联权限。

认证流程

用户可基于以下顺序提供的身份令牌进行识别：

1. X.509 证书
2. JSON ID
3. 系统用户名

成功识别后，将返回包含合并角色权限的用户详情。若未提供上述任何数据，用户将被识别为权限有限的*******用户。

X.509 证书

使用证书识别用户时，将解码并解析证书内容字符串，验证其有效性和可信度。然后，基于证书指纹从数据库映射到用户并返回认证响应。一个证书最多可分配给 1 个用户。

JSON ID

使用 JSON ID 识别用户时，将解码并验证其是否符合要求的结构。JSON ID 中指定的用户名用作识别用户的唯一信息。Auth 服务可进一步配置为在用户或角色不存在时创建它们。

系统用户名

用户名仅用于系统用户的内部识别，以提升权限并执行其他需要授权的操作，不对外暴露给外部系统。

授权

本服务不评估权限。授权由 https://www.openpolicyagent.org/ 控制。有关更多信息，请参阅 https://docs.czertainly.com/docs/certificate-key/concept-design/architecture/access-control/overview%E3%80%82

Docker 容器

Auth 服务以 Docker 容器形式提供。使用 czertainly/czertainly-auth:tagname 从仓库拉取所需镜像。可通过以下环境变量进行配置：

Docker 部署示例

使用以下命令启动 Auth 服务容器：

bash
docker run -d \
  --name czertainly-auth \
  -e AUTH_DB_CONNECTION_STRING="jdbc:postgresql://db-host:5432/authdb?user=authuser&password=authpass" \
  -e AUTH_CREATE_UNKNOWN_USERS=true \
  -e SYNC_POLICY="sync-data" \
  docker.xuanyuan.run/czertainly/czertainly-auth:latest