文档 Grafana 文档 设置 配置安全 配置身份验证 Google OAuth

配置 Google OAuth 身份验证

要启用 Google OAuth，您必须在 Google 注册您的应用程序。Google 将为您生成一个客户端 ID 和密钥。

创建 Google OAuth 密钥

首先，您需要创建一个 Google OAuth 客户端

1. 前往 https://console.developers.google.com/apis/credentials。
2. 如果您还没有项目，请创建一个新项目。
   1. 输入项目名称。组织和位置字段都应设置为您组织的信息。
   2. 在OAuth 同意屏幕中，选择外部用户类型。点击创建。
   3. 使用您的 Grafana Cloud 实例 URL 填写请求的信息。
   4. 接受默认设置，或自定义同意屏幕选项。
3. 点击创建凭据，然后在下拉菜单中点击 OAuth 客户端 ID
4. 输入以下信息
   • 应用程序类型: Web 应用
   • 名称: Grafana
   • 授权的 JavaScript 来源: https://<YOUR_GRAFANA_URL>
   • 授权的重定向 URI: https://<YOUR_GRAFANA_URL>/login/google
   • 将 <YOUR_GRAFANA_URL> 替换为您的 Grafana 实例的 URL。

     注意

     您输入的 URL 是您的 Grafana 实例主页的 URL，而不是您的 Grafana Cloud 门户 URL。

5. 点击创建
6. 从“OAuth 客户端”模态框中复制客户端 ID 和客户端密钥

使用 Grafana UI 配置 Google 身份验证客户端

作为 Grafana 管理员，您可以使用 Google UI 在 Grafana 内部配置 Google OAuth 客户端。为此，导航到管理 > 身份验证 > Google 页面并填写表单。如果您在 Grafana 配置文件中有当前配置，则该表单将预填充这些值；否则，表单将包含默认值。

填写完表单后，点击保存。如果保存成功，Grafana 将应用新配置。

如果您需要将 UI 中所做的更改重置回默认值，请点击重置。重置更改后，Grafana 将应用 Grafana 配置文件中的配置（如果存在配置）或默认值。

使用 Terraform 提供商配置 Google 身份验证客户端

terraform 复制

resource "grafana_sso_settings" "google_sso_settings" {
  provider_name = "google"
  oauth2_settings {
    name            = "Google"
    client_id       = "CLIENT_ID"
    client_secret   = "CLIENT_SECRET"
    allow_sign_up   = true
    auto_login      = false
    scopes          = "openid email profile"
    allowed_domains = "mycompany.com mycompany.org"
    hosted_domain   = "mycompany.com"
    use_pkce        = true
  }
}

请访问 Terraform Registry 以获取有关使用 grafana_sso_settings 资源的完整参考。

使用 Grafana 配置文件配置 Google 身份验证客户端

确保您可以访问Grafana 配置文件。

在 Grafana 中启用 Google OAuth

在Grafana 配置文件中指定客户端 ID 和密钥。例如

bash 复制

[auth.google]
enabled = true
allow_sign_up = true
auto_login = false
client_id = CLIENT_ID
client_secret = CLIENT_SECRET
scopes = openid email profile
auth_url = https://#/o/oauth2/v2/auth
token_url = https://oauth2.googleapis.com/token
api_url = https://openidconnect.googleapis.com/v1/userinfo
allowed_domains = mycompany.com mycompany.org
hosted_domain = mycompany.com
use_pkce = true

您可能需要设置 [server] 部分的 root_url 选项，以确保回调 URL 正确。例如，当您在代理后面提供 Grafana 服务时。

重启 Grafana 后端。您现在应该在登录页面看到一个 Google 登录按钮。您现在可以使用您的 Google 帐户登录或注册。allowed_domains 选项是可选的，域名用空格分隔。

您可以通过将 allow_sign_up 选项设置为 true 来允许用户通过 Google 身份验证进行注册。当此选项设置为 true 时，任何通过 Google 身份验证成功认证的用户都将自动注册。

您可以指定一个域名作为 Google OAuth 2.0 身份验证 API 接受的 hd 查询参数传递。请参阅 Google 的 OAuth 文档。

PKCE

IETF 的 RFC 7636 引入了“代码交换证明密钥”(PKCE)，它提供了额外的保护以防范某些形式的授权码拦截攻击。PKCE 将在 OAuth 2.1 中成为强制要求。

配置刷新令牌

当用户使用 OAuth 提供商登录时，Grafana 会验证访问令牌是否已过期。当访问令牌过期时，Grafana 会使用提供的刷新令牌（如果存在）获取新的访问令牌。

Grafana 使用刷新令牌获取新的访问令牌，无需用户再次登录。如果不存在刷新令牌，则 Grafana 会在访问令牌过期后将用户从系统中注销。

默认情况下，Grafana 在授权请求中包含 access_type=offline 参数以请求刷新令牌。

自 Grafana v10.1.0 起，Google 提供商默认启用刷新令牌获取和访问令牌过期检查。如果您想禁用访问令牌过期检查，请将 use_refresh_token 配置值设置为 false。

配置自动登录

将 auto_login 选项设置为 true 以尝试自动登录，跳过登录屏幕。如果多个身份验证提供商配置为使用自动登录，则此设置将被忽略。

复制

auto_login = true

配置团队同步

通过团队同步，您可以利用用户的 Google 群组轻松将用户添加到团队。要为 Google OAuth 设置团队同步，请参考以下示例。

为 Google OAuth 设置团队同步

1. 在您的组织的控制台上启用 Google Cloud Identity API。

2. 将 https://www.googleapis.com/auth/cloud-identity.groups.readonly scope 添加到您的 Grafana [auth.google] 配置中

   示例

   ini 复制

   [auth.google]
   # ..
   scopes = openid email profile https://www.googleapis.com/auth/cloud-identity.groups.readonly

3. 在 Grafana 团队的 外部群组同步 选项卡中配置团队同步。Google 群组的外部群组 ID 是该群组的电子邮件地址，例如 dev@grafana.com。

要了解有关团队同步的更多信息，请参阅配置团队同步。

配置允许的群组

要限制访问仅限于一个或多个群组的已认证用户，请将 allowed_groups 设置为逗号或空格分隔的群组列表。

Google 群组通过群组电子邮件键引用。例如，developers@google.com。

配置角色映射

除非启用了 skip_org_role_sync 选项，否则用户的角色将在用户登录时设置为从 Google 映射的角色。如果未设置映射，则使用默认实例角色。

用户的角色使用来自 role_attribute_path 配置选项的 JMESPath 表达式检索。要映射服务器管理员角色，请使用 allow_assign_grafana_admin 配置选项。

如果找不到有效的角色，则将用户分配给 auto_assign_org_role 选项中指定的角色。您可以通过设置 role_attribute_strict = true 来禁用此默认角色分配。如果评估 role_attribute_path 和 org_mapping 表达式后返回的角色无效或没有角色，此设置将拒绝用户访问。

为方便配置正确的 JMESPath 表达式，请访问 JMESPath 使用自定义负载测试和评估表达式。

角色映射示例

本节包含用于角色映射的 JMESPath 表达式示例。

组织角色映射示例

Google 集成在 org_mapping 配置中使用外部用户的群组，根据其 Google 群组成员身份映射组织和角色。

在此示例中，用户在 org_foo 组织中被授予了 Viewer 角色，在 org_bar 和 org_baz 组织中被授予了 Editor 角色。

外部用户属于以下 Google 群组：group-1 和 group-2。

配置

ini 复制

org_mapping = group-1:org_foo:Viewer group-2:org_bar:Editor *:org_baz:Editor

使用 OAuth 令牌中的用户信息映射角色

在此示例中，电子邮件为 admin@company.com 的用户被授予 Admin 角色。所有其他用户被授予 Viewer 角色。

ini 复制

role_attribute_path = email=='admin@company.com' && 'Admin' || 'Viewer'
skip_org_role_sync = false

使用群组映射角色

在此示例中，来自 Google 群组 'example-group@google.com' 的用户被授予 Editor 角色。所有其他用户被授予 Viewer 角色。

ini 复制

role_attribute_path = contains(groups[*], 'example-group@google.com') && 'Editor' || 'Viewer'
skip_org_role_sync = false

映射服务器管理员角色

在此示例中，电子邮件为 admin@company.com 的用户被授予 Admin 组织角色以及 Grafana 服务器管理员角色。所有其他用户被授予 Viewer 角色。

ini 复制

allow_assign_grafana_admin = true
skip_org_role_sync = false
role_attribute_path = email=='admin@company.com' && 'GrafanaAdmin' || 'Viewer'

将一个角色映射给所有用户

在此示例中，无论从身份提供商接收到的用户信息如何，所有用户都被分配了 Viewer 角色。

ini 复制

role_attribute_path = "'Viewer'"
skip_org_role_sync = false

配置选项

下表概述了各种 Google OAuth 配置选项。您可以像 Grafana 中的任何其他配置一样将这些选项作为环境变量应用。有关更多信息，请参阅使用环境变量覆盖配置。