如何通过Keycloak或其他方案将自有OAuth服务适配为OIDC对接Datahub？

方案一：用Keycloak作为中间适配层 #

Keycloak支持扩展自定义身份源，刚好可以对接你的自有OAuth服务，将其包装为标准OIDC提供者供Datahub使用，步骤如下：

1. 配置Keycloak对接自有OAuth服务

   • 在Keycloak后台创建一个自定义OAuth2身份提供者：
     • 授权端点：填写你的自有登录服务URL
     • 令牌端点：填写你的获取access token接口URL
     • 用户信息端点：填写你的获取用户信息接口URL
   • 调整参数映射：
     • 你的登录服务返回的request_token对应标准OIDC流程中的code，需在Keycloak中配置将回调参数里的request_token作为授权码使用
     • 配置令牌请求参数：确保Keycloak调用你的获取access token接口时，传递正确的client_id和code（即request_token）
     • 配置用户信息映射：将你的自有用户信息接口返回的字段，映射为OIDC标准字段（如sub、name等），Datahub依赖这些标准字段识别用户

2. 配置Keycloak作为OIDC提供者给Datahub

   • 在Keycloak中创建一个面向Datahub的客户端，启用授权码模式，设置正确的redirect_uri（对应Datahub的OIDC回调地址）
   • 在Datahub的配置文件中，填写Keycloak的OIDC端点信息（授权、令牌、用户信息端点），以及分配的client_id和client_secret

方案二：自定义轻量OIDC适配服务 #

如果不想依赖Keycloak，可自行开发一个中间层服务，将你的自有OAuth服务转换为标准OIDC接口：

• 实现OIDC标准端点：
  • /.well-known/openid-configuration：返回标准的OIDC元数据，包含授权端点、令牌端点、用户信息端点等地址
  • 授权端点：接收Datahub的OIDC授权请求，转发到你的自有登录服务，处理回调的request_token，暂存后返回给Datahub标准的授权码回调
  • 令牌端点：接收Datahub的令牌请求，用暂存的request_token调用你的获取access token接口，同时生成符合OIDC标准的id_token（使用JWT签名，包含用户标识、过期时间等），将id_token、access_token一并返回
  • 用户信息端点：接收Datahub的用户信息请求，用access_token调用你的用户信息接口，转换为OIDC标准字段返回
• 注意事项：需保证id_token的签名安全性，使用非对称加密算法（如RS256），并在元数据中公开公钥供Datahub验证

关键适配点说明 #

• 你的登录服务返回的request_token需是一次性、可用于交换access token的凭证，适配层需将其当作标准授权码处理
• 调用你的获取access token和用户信息接口时，需正确传递client_id参数，适配层要做好参数校验
• 必须将自有用户信息映射为OIDC标准字段，否则Datahub无法正确识别用户身份

内容的提问来源于stack exchange，提问作者lubby