SolrCloud配置双认证插件遇阻：Admin UI无法访问求助

1. 双认证配置可行，但你的当前配置存在问题 #

你遇到的Admin UI报错，核心原因有三个：

• JWTAuthPlugin配置不完整：仅指定class缺少JWT验证必需参数（比如签名算法、密钥/公钥），导致MultiAuthPlugin无法正确初始化该认证方案，Admin UI识别到未支持的认证类型（undefined）。
• blockUnknown设置冲突：两个scheme都设置blockUnknown: true会导致认证逻辑混乱——当请求未携带对应scheme凭据时，两个插件都会拒绝请求，而Admin UI默认仅尝试Basic Auth，触发401错误。
• 权限配置笔误："helath"拼写错误应为"health"，会导致对应权限不生效。

修正思路：

• 给JWTAuthPlugin补充完整的JWT验证参数
• 仅在MultiAuthPlugin层面设置blockUnknown: true，单个scheme无需重复设置
• 确保BasicAuth作为Admin UI优先使用的认证方案

2. 仅用JWTAuthPlugin访问Admin UI的方案 #

Admin UI本身不支持直接输入JWT令牌，但可以通过以下方式访问：

本地/测试环境 #

• 使用浏览器插件（如ModHeader）添加请求头：Authorization: Bearer <你的JWT令牌>，令牌需包含admin角色声明（对应authorization中的user-role映射）
• 生成JWT时，确保payload里包含roles: ["admin"]（具体字段名取决于JWTAuthPlugin的userRolesClaim配置，默认是roles）

生产环境（域名访问） #

• 反向代理注入令牌：用Nginx等反向代理，为Admin UI访问路径（如/solr/admin/**）自动注入预先生成的、拥有admin权限的JWT令牌；API请求则要求客户端自行携带JWT
• OAuth2代理集成：部署OAuth2代理（如oauth2-proxy），让用户先通过OAuth2登录（如企业SSO），代理自动生成符合Solr要求的JWT令牌转发给Solr，同时保护Admin UI访问

修正后的security.json示例 #

{
  "authentication": {
    "class": "solr.MultiAuthPlugin",
    "blockUnknown": true,
    "schemes": [
      {
        "scheme": "basic",
        "class": "solr.BasicAuthPlugin",
        "credentials": {
          "solr":"IV0EHq1OnNrj6gvRCwvFwTrZ1+z1oBbnQdiVC3otuq0= Ndd7LKvVBAaZIF0QAVi1ekCfAJXr1GGfLtRUXhgrF8c="
        },
        "forwardCredentials": false
      },
      {
        "scheme": "bearer",
        "class": "solr.JWTAuthPlugin",
        "signatureAlgorithm": "HS256",
        "secret": "your-strong-jwt-secret-key",
        "userRolesClaim": "roles"
      }
    ]
  },
  "authorization":{
    "class":"solr.RuleBasedAuthorizationPlugin",
    "permissions":[ 
      {"name":"security-edit", "role":"admin"},
      {"name":"security-read", "role":"admin"},
      {"name":"schema-edit", "role":"admin"},
      {"name":"schema-read", "role":"admin"},
      {"name":"config-edit", "role":"admin"},
      {"name":"config-read", "role":"admin"},
      {"name":"metrics-read", "role":"admin"},
      {"name":"health", "role":"admin"},
      {"name":"core-admin-edit", "role":"admin"},
      {"name":"core-admin-read", "role":"admin"},
      {"name":"collection-admin-edit", "role":"admin"},
      {"name":"collection-admin-read", "role":"admin"},
      {"name":"update", "role":"admin"},
      {"name":"read", "role":"admin"},
      {"name":"zk-read", "role":"admin"},
      {"name":"all", "role":"admin"} 
    ],
    "user-role":{"solr":"admin"}
  }
}

注意：

• secret需替换为实际使用的强密钥，生产环境建议用RSA公钥/私钥对（设置publicKey参数）
• 上传修改后的security.json到Zookeeper后，需重启所有Solr节点让配置生效

内容的提问来源于stack exchange，提问作者anvbis