pinepain/ldap-auth-proxy

LDAP Auth代理


镜像概述

这是一个轻量的即插即用HTTP代理工具，支持透明LDAP授权验证，同时可作为独立的HTTP认证后端，帮助系统快速实现基于LDAP的身份验证与访问控制。

核心功能

1. 认证后端模式：为Kubernetes ingress-nginx等服务提供LDAP认证能力，作为身份验证中间件使用。
2. 代理模式：直接作为HTTP代理，对请求进行透明LDAP授权；也可部署在Nginx之后，作为二级代理增强安全控制。

使用场景

• Kubernetes集群中与ingress-nginx集成，实现基于LDAP的访问权限管控。
• 通过docker-compose快速部署，为内部Web服务添加LDAP认证层。
• 作为独立代理服务，对外部访问请求进行LDAP身份验证。

配置说明

JumpCloud用户示例配置

设置以下环境变量可快速对接JumpCloud LDAP服务：

bash
export LDAP_SERVER='ldaps://ldap.jumpcloud.com'
export LDAP_BASE='o=<oid>,dc=jumpcloud,dc=com'
export LDAP_BIND_DN='uid=<bind user name>,ou=Users,o=<oid>,dc=jumpcloud,dc=com'
export LDAP_BIND_PASSWORD='<bind user password>'
export LDAP_USER_FILTER='(uid=%s)'
export LDAP_GROUP_FILTER='(&(objectClass=groupOfNames)(member=uid=%s,ou=Users,o=<oid>,dc=jumpcloud,dc=com))'
export GROUP_HEADER='X-Ldap-Group'
export HEADERS_MAP='X-LDAP-Mail:mail,X-LDAP-UID:uid,X-LDAP-CN:cn,X-LDAP-DN:dn'

其中<oid>替换为您的组织ID。

注意事项

• 空用户名或空密码均视为无效（符合LDAP规范，禁止未认证访问）。
• 不支持***认证，需配置合法的LDAP绑定账户。

部署示例

Docker Run命令

bash
docker run -d \
  -e LDAP_SERVER='ldaps://your-ldap-server.com' \
  -e LDAP_BASE='dc=your-domain,dc=com' \
  -e LDAP_BIND_DN='cn=admin,dc=your-domain,dc=com' \
  -e LDAP_BIND_PASSWORD='your-bind-password' \
  -p 8080:8080 \
  pinepain/ldap-auth-proxy

Docker Compose参考

可参考项目https://github.com/pinepain/ldap-auth-proxy/tree/master/examples%E7%9B%AE%E5%BD%95%E4%B8%8B%E7%9A%84%60auth_backend%60%E6%88%96%60proxy%60%E7%A4%BA%E4%BE%8B%E6%96%87%E4%BB%B6%EF%BC%8C%E5%BF%AB%E9%80%9F%E6%90%AD%E5%BB%BA%E9%83%A8%E7%BD%B2%E7%8E%AF%E5%A2%83%E3%80%82

许可证

该项目采用MIT许可证开源。