如何在K3s部署的Kubeflow中集成Google Authenticator与Dex认证？

1. 定位并导出Dex配置 #

Kubeflow依赖Dex处理认证，先导出kubeflow命名空间下的Dex配置文件：

kubectl get configmap dex -n kubeflow -o yaml > dex-config.yaml

2. 修改配置添加Google连接器 #

编辑导出的dex-config.yaml，在connectors数组中插入Google认证配置：

connectors:
- type: google
  id: google
  name: Google
  config:
    clientID: "你的Google OAuth客户端ID"
    clientSecret: "你的Google OAuth客户端密钥"
    redirectURI: "https://<你的Kubeflow域名>/dex/callback"
    hostedDomains: ["你的企业域名.com"] # 可选，限制仅特定域名用户登录

关键注意事项：

• redirectURI必须和Google Cloud控制台中配置的回调地址完全匹配（协议、域名、路径均不能出错）
• 确保Google Cloud项目已启用Google+ API（部分Dex版本依赖该API获取用户信息）

3. 应用配置并重启Dex #

先更新ConfigMap：

kubectl apply -f dex-config.yaml -n kubeflow

再重启Dex Pod使配置生效：

kubectl rollout restart deployment dex -n kubeflow

4. 验证与排查 #

访问Kubeflow登录页，应出现Google登录选项，点击后自动跳转至Google账号授权界面。若仍失败，按以下步骤排查：

• 查看Dex Pod日志定位错误：

  kubectl logs -l app=dex -n kubeflow
  

• 确认Google OAuth客户端为Web应用类型，且已添加正确的回调地址
• 检查K3s集群Ingress规则，确保/dex/*路径已正确转发至Dex服务
• 若使用自签名证书，需将集群根证书挂载到Dex Pod的/etc/ssl/certs目录，确保Dex信任该证书

内容的提问来源于stack exchange，提问作者Noushad Shaw