ciscosso/oauth2_proxy

ciscosso/oauth2_proxy 镜像说明

镜像概述

oauth2_proxy是一款开源的反向代理与静态文件服务器，通过集成Google、GitHub、Azure等主流OAuth2提供商，实现基于用户身份（***、域名、群组）的访问认证，帮助企业或开发者保护内部应用、静态资源的安全访问。

核心功能

1. 多提供商支持：兼容Google、GitHub、Azure、***、GitLab、LinkedIn等主流OAuth2服务；
2. 灵活认证规则：支持按域名、特定列表、企业群组（如Google Group、GitHub Org/Team）限制访问；
3. 静态资源服务：可直接托管静态文件，或反向代理至后端HTTP服务；
4. 安全配置：支持HTTPS、Cookie加密、请求签名等安全特性；
5. Nginx集成：可通过Nginx的auth_request指令实现更灵活的访问控制。

使用场景

• 企业内部应用的统一身份认证入口；
• 静态资源（如文档、Dashboard）的访问权限控制；
• 第三方应用的OAuth2认证代理。

配置说明

环境变量（关键参数）

• OAUTH2_PROXY_CLIENT_ID：OAuth提供商的Client ID；
• OAUTH2_PROXY_CLIENT_SECRET：OAuth提供商的Client Secret；
• OAUTH2_PROXY_COOKIE_SECRET：Cookie加密密钥（可通过python -c 'import os,base64; print(base64.urlsafe_b64encode(os.urandom(16)).decode())'生成）；
• OAUTH2_PROXY_EMAIL_DOMAIN：允许访问的***域名（如yourcompany.com，使用*允许所有）；
• OAUTH2_PROXY_UPSTREAM：后端服务地址（如http://backend:8080或file:///var/www/static）。

部署示例

Docker Run命令

bash
docker run -d \
  --name oauth2_proxy \
  -p 4180:4180 \
  -e OAUTH2_PROXY_CLIENT_ID="your-client-id" \
  -e OAUTH2_PROXY_CLIENT_SECRET="your-client-secret" \
  -e OAUTH2_PROXY_COOKIE_SECRET="your-cookie-secret" \
  -e OAUTH2_PROXY_EMAIL_DOMAIN="yourcompany.com" \
  -e OAUTH2_PROXY_UPSTREAM="http://backend:8080" \
  docker.xuanyuan.run/ciscosso/oauth2_proxy \
  --provider google \
  --redirect-url "https://your-domain.com/oauth2/callback"

Docker Compose配置

yaml
version: "3"
services:
  oauth2_proxy:
    image: docker.xuanyuan.run/ciscosso/oauth2_proxy
    ports:
      - "4180:4180"
    environment:
      OAUTH2_PROXY_CLIENT_ID: "your-client-id"
      OAUTH2_PROXY_CLIENT_SECRET: "your-client-secret"
      OAUTH2_PROXY_COOKIE_SECRET: "your-cookie-secret"
      OAUTH2_PROXY_EMAIL_DOMAIN: "yourcompany.com"
      OAUTH2_PROXY_UPSTREAM: "http://backend:8080"
    command:
      - --provider=google
      - --redirect-url=https://your-domain.com/oauth2/callback
      - --http-address=0.0.0.0:4180

注意事项

• 需在对应OAuth提供商平台注册应用，并配置正确的回调地址（如https://your-domain.com/oauth2/callback）；
• 生产环境建议启用HTTPS，可通过镜像自带的TLS配置或Nginx反向代理实现；
• 如需限制特定群组访问，需配置对应提供商的群组权限（如Google Group需设置服务账号权限）。