buzzfeed/sso

sso

查看我们的发布博客文章了解更多信息！

![CircleCI]([] ![MIT license]([]

请参与SSO社区调查，让我们了解您的使用体验，帮助我们规划发展路线！

镜像概述和主要用途

sso（亲切地称为“章鱼号”或“章鱼男孩”）是BuzzFeed开发的认证和授权系统，旨在为员工访问众多内部Web应用提供安全的单点登录体验。它依赖Google作为权威的OAuth2提供商，通过特定***域对用户进行认证，并可基于Google Group成员身份对上游服务进行细粒度授权控制。

sso的核心设计理念是“双重OAuth2”流程：sso-auth作为sso-proxy的OAuth2提供商，而Google则作为sso-auth的OAuth2提供商。

简而言之：

• 当用户访问受sso-proxy保护的服务（如foo.sso.example.com）且没有会话 cookie 时，会被重定向到sso-auth（sso-auth.example.com）。
  • 若用户没有sso-auth的会话 cookie，将提示通过常规Google OAuth2流程登录，之后重定向回sso-proxy并完成登录（访问foo.sso.example.com）。
  • 若用户已有sso-auth的会话 cookie（例如已登录过bar.sso.example.com），将无缝重定向回sso-proxy并完成登录，无需再次经过Google OAuth2流程。
• sso-proxy会与sso-auth透明地重新验证和刷新用户会话。

核心功能和特性

• 单点登录：用户一次登录即可访问所有受保护的内部Web应用。
• 基于Google的认证：依赖Google OAuth2作为身份提供商，确保安全的用户身份验证。
• 域限制：仅允许特定域的用户进行认证。
• Google Group授权：可基于用户的Google Group成员身份，对不同上游服务设置细粒度的访问控制。
• 会话管理：sso-proxy自动与sso-auth验证和刷新用户会话，确保安全性和连续性。

使用场景和适用范围

适用于企业内部拥有多个Web应用，需要统一、安全的身份认证和授权管理的场景。特别适合依赖Google Workspace（原G Suite）的组织，通过整合Google OAuth2和Google Group实现高效的访问控制。

安装与使用方法

安装方式

• https://github.com/buzzfeed/sso/releases
• https://hub.docker.com/r/buzzfeed/sso/
• 通过go get安装：go get github.com/buzzfeed/sso/cmd/...

快速开始

遵循我们的快速入门指南，在本地部署sso，体验其工作流程！

行为准则

帮助我们保持sso的开放性和包容性。请阅读并遵循我们的行为准则。

贡献指南

欢迎为sso贡献代码！请遵循我们的贡献指南。

问题反馈

请在我们的https://github.com/buzzfeed/sso/issues%E4%B8%AD%E6%8F%90%E4%BA%A4%E5%8F%91%E7%8E%B0%E7%9A%84%E4%BB%BB%E4%BD%95%E9%97%AE%E9%A2%98%E3%80%82

安全漏洞

如果发现sso仓库或软件存在安全漏洞，请发送邮件至***。在邮件中，请请求访问我们的漏洞赏金计划，以便我们对报告的有效问题进行奖励。

维护者

sso由BuzzFeed基础设施团队积极维护。