如何为AWS ALB OIDC设置认证Cookie域名？

1. 修改ALB OIDC认证Cookie的Domain属性 #

当前云厂商ALB的原生OIDC认证规则确实没有直接配置Cookie域名的可视化选项，但可以通过ALB关联的自定义Lambda函数修改响应头中的Set-Cookie字段，将域名设置为.dev.company.net，实现跨子域名共享认证Cookie。具体操作：

• 创建Lambda函数，触发时机选择ALB的响应阶段
• 在函数中遍历响应头里的Set-Cookie值，将每个Cookie的Domain=dev.company.net替换为Domain=.dev.company.net
• 将该Lambda函数关联到目标ALB，覆盖所有需要跨子域名认证的请求路径

示例Lambda代码片段（Python）：

def lambda_handler(event, context):
    response = event['Records'][0]['cf']['response']
    headers = response['headers']
    
    if 'set-cookie' in headers:
        updated_cookies = []
        for cookie in headers['set-cookie']:
            updated_cookie = cookie['value'].replace('Domain=dev.company.net', 'Domain=.dev.company.net')
            # 可选：添加SameSite属性适配跨域场景
            updated_cookie += '; SameSite=None; Secure'
            updated_cookies.append({'key': 'Set-Cookie', 'value': updated_cookie})
        headers['set-cookie'] = updated_cookies
    
    return response

2. 解决Azure OIDC静态回调URL限制 #

Azure AD不支持通配符回调URL，可通过统一认证端点的方式规避：

• 在ALB上配置固定的认证回调域名，比如auth.dev.company.net
• 将Azure AD OIDC的回调URL设置为https://auth.dev.company.net/oauth2/idpresponse（ALB OIDC认证的默认回调路径）
• 在ALB中添加路径规则：将所有子域名下的/oauth2/*路径请求转发到auth.dev.company.net的对应路径
• 所有子域名的认证请求会统一走这个静态回调URL，Azure AD无需配置多个条目，认证完成后ALB会自动重定向回用户原本请求的子域名和路径

补充说明 #

• 需确保Lambda函数权限足够访问ALB响应数据，且部署区域与ALB一致
• 修改Cookie域名后，需清除客户端旧Cookie才能生效
• 若使用其他云厂商ALB，逻辑通用：通过自定义响应函数修改Cookie的Domain属性

内容的提问来源于stack exchange，提问作者Sammitch