已配置OpenID Connect(Keycloak)认证的NiFi如何加载用户组及策略？

首先明确回答你的核心疑问：NiFi完全支持通过OpenID Connect（比如Keycloak）加载用户组信息，并基于这些组配置访问策略，不需要局限于LDAP或Kerberos。从NiFi 1.10.0版本开始，OIDC的组集成能力就已经得到了增强，后续版本都持续完善了这个功能。

下面是具体的配置步骤，分为Keycloak端和NiFi端两部分：

Keycloak端准备 #

• 首先确保你的Keycloak客户端配置正确：
  • 打开Keycloak控制台，找到对应的NiFi客户端，在「Scope」标签下，要么开启「Full Scope Allowed」，要么手动添加groups到客户端的可选范围中，保证NiFi能获取到组信息。
  • 进入「Mappers」标签，添加一个Group Membership类型的映射器：
    • 设置「Token Claim Name」为groups（这个名称要和后续NiFi配置对应）
    • 按需选择「Full group path」或者「Only group name」，根据你想要在NiFi中显示的组格式来定
    • 确保「Add to ID token」和「Add to userinfo」都勾选上，这样NiFi可以通过ID Token或UserInfo端点拿到组数据

NiFi端配置 #

1. 修改nifi.properties #

确保你已经完成了OIDC的基础认证配置，然后添加/调整以下参数：

# 指定从OIDC Token中提取组信息的Claim名称，和Keycloak里的映射器名称一致
nifi.security.user.oidc.groups.claim=groups
# 如果需要从UserInfo端点获取组（而不是ID Token），可以开启这个参数
nifi.security.user.oidc.userinfo.groups.claim=groups

2. 配置authorizers.xml #

要让NiFi识别并使用OIDC加载的组，需要调整授权器配置：

• 找到<UserGroupProvider>部分，替换或添加oidc-user-group-provider：

<UserGroupProvider>
    <id>oidc-user-group-provider</id>
    <class>org.apache.nifi.oidc.OidcUserGroupProvider</class>
    <property name="Groups Claim">groups</property>
    <!-- 如果需要缓存组信息，设置缓存超时时间，单位秒 -->
    <property name="Group Cache Expiration">300</property>
</UserGroupProvider>

• 确保你的<ManagedAuthorizer>引用了这个用户组提供者：

<ManagedAuthorizer>
    <id>managed-authorizer</id>
    <class>org.apache.nifi.authorization.ManagedAuthorizer</class>
    <property name="Access Policy Provider">file-access-policy-provider</property>
    <property name="User Group Provider">oidc-user-group-provider</property>
    <property name="Initial Admin Identity">你的Keycloak管理员用户名</property>
</ManagedAuthorizer>

验证与使用 #

• 重启NiFi服务后，用Keycloak用户登录NiFi，点击右上角的用户头像，查看「User Groups」，应该能看到从Keycloak同步过来的组。
• 之后就可以在NiFi的「Access Policies」页面中，选择这些组来配置对应的访问策略（比如流程编辑、数据读取等权限）。

注意事项 #

• 如果NiFi无法获取组信息，检查Keycloak的映射器是否正确配置，以及NiFi的groups.claim参数是否和Claim名称一致。
• 如果Keycloak的组有层级结构，选择「Full group path」的话，NiFi中会显示类似/parent-group/child-group的组名，配置策略时要注意完整路径。
• 组信息默认会缓存5分钟（300秒），如果Keycloak中组有变更，需要等待缓存过期或者重启NiFi才能生效。

内容的提问来源于stack exchange，提问作者Sateesh Telaprolu