Rundeck社区版谷歌账号SSO配置求助：Google IAP适配遇阻

社区版确实能通过预认证模式实现谷歌账号SSO，不少开发者都成功配置过，我自己也做过类似部署。下面是具体的配置思路和常见问题解决办法：

核心逻辑 #

Rundeck社区版没有企业版的原生SSO插件，但支持预认证机制：让Google IAP先完成用户身份校验，再把用户的身份信息通过HTTP头部传递给Rundeck，Rundeck基于这些头部信息完成用户识别、权限映射。

配置步骤 #

1. Google IAP 侧配置 #

• 在Google Cloud中创建项目，启用Identity-Aware Proxy服务
• 用IAP保护你的Rundeck访问域名，确保所有请求必须经过谷歌账号验证
• 配置OAuth同意屏幕，添加openid、email等必要的权限范围
• 记录IAP的客户端ID和密钥，后续配置会用到

2. Rundeck 预认证配置 #

修改Rundeck的rundeck-config.properties文件，添加以下配置：

# 开启预认证模式
rundeck.security.preauth.enabled=true
# 指定从Google IAP传递的用户邮箱头部
rundeck.security.preauth.username.header=X-Goog-Authenticated-User-Email
# 设置用户显示名称（可选，直接用邮箱）
rundeck.security.preauth.displayname.header=X-Goog-Authenticated-User-Email
# 仅信任Google IAP的IP段，防止头部伪造
rundeck.security.preauth.trusted.proxies=35.191.0.0/16,130.211.0.0/22
# 自动创建Rundeck中不存在的用户
rundeck.security.preauth.createUser=true

3. 权限映射（可选） #

如果需要根据谷歌账号的组信息分配Rundeck权限：

• 在Google Cloud中配置组同步，让IAP把用户组信息传递到自定义HTTP头部
• 修改Rundeck的jaas-loginmodule.conf，添加组信息的映射规则，或者在ACL策略文件中配置对应角色的权限

常见问题排查 #

你提到适配时遇到问题，这里列几个高频坑：

• 头部伪造风险：必须配置trusted.proxies，只允许Google IAP的IP段访问，否则恶意用户可以伪造X-Goog开头的头部绕过验证
• 邮箱格式问题：Google IAP传递的邮箱头部格式是accounts.google.com:user@example.com，如果Rundeck无法识别，可以通过过滤器截取:后的纯邮箱部分，或者自定义头部转换逻辑
• 权限不生效：自动创建的用户默认没有权限，需要在project.aclpolicy或framework.aclpolicy中配置基础权限，比如给user角色分配项目访问、执行作业的权限

内容的提问来源于stack exchange，提问作者Gary Turner