基于Helm部署的kube-prometheus-stack中Grafana AzureAD SSO配置疑问

针对你配置Azure AD SSO时遇到的三个问题，整理如下：

1. scopes字段的类型、有效值及含义 #

scopes确实是列表类型，在Helm的values.yaml中需以YAML列表格式定义。常用有效值及作用：

• openid：必填，开启OpenID Connect认证流程，用于获取ID Token
• email：请求获取用户的邮箱信息
• profile：请求获取用户的基本资料（如姓名、昵称等）
• Groups.Read.All：请求获取用户所属的Azure AD组信息，用于后续的allowed_groups权限控制

注：使用Groups.Read.All时，需确保Azure AD应用注册已配置对应API权限并完成管理员授权。

2. allowed_domains和allowed_groups的格式 #

• allowed_domains：字符串列表，用于限制仅指定域名的Azure AD用户可登录。示例配置：

  grafana:
    grafana.ini:
      auth.azuread:
        allowed_domains:
          - yourcompany.com
          - anotherdomain.com
  

• allowed_groups：字符串列表，支持Azure AD组的显示名称或组对象ID，用于限制仅指定组内的用户可登录。示例配置：

  grafana:
    grafana.ini:
      auth.azuread:
        allowed_groups:
          - "DevOps Engineering Team"
          - "00000000-0000-0000-0000-000000000000"
  

注：使用allowed_groups时，需确保scopes中包含Groups.Read.All，且Azure AD应用已获取该权限。

3. Grafana配置的数据结构定义（schema）获取途径 #

• 查看kube-prometheus-stack的Helm默认配置：执行helm show values prometheus-community/kube-prometheus-stack，其中grafana字段下的grafana.ini部分包含完整的配置项注释和结构说明
• 参考Grafana官方默认配置文件：Grafana的GitHub仓库中提供defaults.ini文件，里面列出了所有配置项的默认值、类型及基础说明
• 查阅Grafana官方配置参考文档：官方文档按模块分类整理了所有配置项的详细说明，包括每个字段的类型、取值范围和使用场景

内容的提问来源于stack exchange，提问作者Joseph Gagnon