alfresco/alfresco-identity-service

Alfresco Identity Service

Alfresco Identity Service将成为Alfresco软件所需身份相关功能的中央组件，负责管理用户、组、角色、配置文件和身份验证等。目前该服务主要处理身份验证功能，本项目包含此服务的开源核心部分。

安装和https://github.com/Alfresco/alfresco-identity-service/blob/master/upgrade.mdIdentity Service可选择Kubernetes发行版或独立发行版，以下将详细介绍这两种方法。

Kubernetes部署

Kubernetes集群

以下说明适用于在EKS上的Kubernetes集群部署。

请参考ACS部署https://github.com/Alfresco/acs-deployment/blob/master/docs/helm/eks-deployment.md%E3%80%82

如果将Identity Service部署到包含其他Alfresco组件（如Content Services和Process Services）的集群中，建议使用具有5个节点的VPC和集群，每个节点应为m4.xlarge EC2实例。

K8s集群命名空间

如果命名空间不存在，创建命名空间以避免集群冲突：

bash
export DESIREDNAMESPACE=example
kubectl create namespace $DESIREDNAMESPACE

此环境变量将在部署步骤中使用。

部署独立Identity Services Chart

1. 通过部署ingress准备EKS集群，详见https://github.com/Alfresco/acs-deployment/blob/master/docs/helm/eks-deployment.md#ingress%E8%AF%B4%E6%98%8E%E3%80%82

2. 从ingress部署（步骤1）获取发布名称并设为变量：

bash
export INGRESS_RELEASENAME=<YOUR_INGRESS_RELEASE_NAME>

3. 将Identity Service发布名称设为变量：

bash
export RELEASENAME=ids

4. 部署Identity Service：

bash
helm repo add alfresco-stable https://kubernetes-charts.alfresco.com/stable

helm install $RELEASENAME alfresco-stable/alfresco-identity-service --devel \
  --namespace $DESIREDNAMESPACE

5. 等待发布完成部署（检查状态时，pod应显示READY 1/1）：

bash
helm status $RELEASENAME

6. 获取本地或ELB IP并设为变量供后续使用：

bash
export ELBADDRESS=$(kubectl get services $INGRESS_RELEASENAME-ingress-nginx-controller --namespace=$DESIREDNAMESPACE -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')

上述步骤将部署应用默认示例领域的_alfresco-identity-service_，默认值如下：

（注意：APS期望使用***作为用户名）

修改Alfresco客户端redirectUris

可通过alfresco-identity-service.client.alfresco.redirectUris属性覆盖环境的默认重定向URI http://localhost*：

bash
helm install $RELEASENAME alfresco-stable/alfresco-identity-service --devel \
  --set alfresco-identity-service.realm.alfresco.client.redirectUris="{$DNSNAME}" \
  --namespace $DESIREDNAMESPACE

包含多个重定向URI：

bash
helm install $RELEASENAME alfresco-stable/alfresco-identity-service --devel \
  --set alfresco-identity-service.realm.alfresco.client.redirectUris="{$DNSNAME,$DNSNAME1,$DNSNAME2}" \
  --namespace $DESIREDNAMESPACE

注意：多个重定向URI值必须用逗号分隔，且逗号前后无空格。

如需部署自定义领域进行进一步定制，详见下文“自定义领域”。

修改Alfresco客户端webOrigins

与redirectUris类似，可通过覆盖alfresco-identity-service.client.alfresco.webOrigins属性修改webOrigins：

bash
helm install $RELEASENAME alfresco-stable/alfresco-identity-service --devel \
  --set alfresco-identity-service.realm.alfresco.client.webOrigins="{$DNSNAME}" \
  --namespace $DESIREDNAMESPACE

多个webOrigins：

bash
helm install $RELEASENAME alfresco-stable/alfresco-identity-service --devel \
  --set alfresco-identity-service.realm.alfresco.client.webOrigins="{$DNSNAME,$DNSNAME1,$DNSNAME2}" \
  --namespace $DESIREDNAMESPACE

多副本、高可用和集群

为提高弹性，可依赖Keycloak chart支持指定多个副本。启用此功能需在部署identity chart时添加以下设置：

bash
  --set alfresco-identity-service.keycloak.replicas=3

此外，Keycloak支持集群以实现高可用。有关配置高可用和集群的更多信息，可参考以下文档：

https://github.com/codecentric/helm-charts/tree/master/charts/keycloak#high-availability-and-clustering

Keycloak Standalone Clustered configuration

Keycloak Clustering

注意：Keycloak建议使用粘性会话，因此如果选择使用非nginx的ingress类型，请务必注意这一点。

自定义领域

部署期间自定义领域

1. 需要一个领域文件，提供了示例领域文件。

2. 使用领域json文件创建secret

注意：secret名称必须为realm-secret，且领域文件名不能为alfresco-realm.json。

bash
kubectl create secret generic realm-secret \
  --from-file=./realm.json \
  --namespace=$DESIREDNAMESPACE

3. 创建包含以下设置的yaml文件（文件名可自定义，例如custom-values.yaml）：

yaml
keycloak:
  extraEnv: |
    - name: KEYCLOAK_USER
      value: admin
    - name: KEYCLOAK_PASSWORD
      value: admin
    - name: KEYCLOAK_IMPORT
      value: /realm/realm.json

注意：上述设置使用默认的_keycloak用户名和密码admin/admin_，可替换为自定义值。

4. 使用新设置部署identity chart：

bash
helm repo add alfresco-stable https://kubernetes-charts.alfresco.com/stable

helm install $RELEASENAME alfresco-stable/alfresco-identity-service --devel \
  -f custom-values.yaml \
  --namespace $DESIREDNAMESPACE

更多详情见https://github.com/codecentric/helm-charts/tree/master/charts/keycloak#setting-a-custom-realm%E3%80%82

Keycloak启动后，登录管理控制台配置所需领域。

手动配置

1. 添加领域，命名为"Alfresco"

2. 在Alfresco领域内创建OIDC客户端，命名为"alfresco"

3. 创建组，命名为"admin"

4. 添加新用户，用户名为"testuser"，为""，姓名为"test"

使用示例领域文件

1. 进入添加领域页面，点击Import标签旁的"Select File"按钮。

2. 选择https://github.com/Alfresco/alfresco-identity-service/blob/master/helm/alfresco-identity-service/alfresco-realm.json%E6%96%87%E4%BB%B6%EF%BC%8C%E7%82%B9%E5%87%BB%22Create%22%E6%8C%89%E9%92%AE%E3%80%82

贡献至Identity Service

我们鼓励并欢迎对此项目的贡献。详情请查看https://github.com/Alfresco/alfresco-identity-service/blob/master/CONTRIBUTING.md%E3%80%82