問題タブ [mod-auth-openidc]

社内のウェブサイトの一部を Google Apps で認証したいと考えています。openid ベースの apache モジュールを使用してきましたが、最近非推奨mod_auth_openidになったため、代替手段を探し始めたところ、. しかし、ほとんどの部分を理解していなかったため、実際には機能させることができませんでした (いくつかの記事 ( article1、article2 ) をフォローしようとしましたが、明確ではなかったため、役に立ちませんでした)。mod_auth_openidc

これを行うのに役立つ他の解決策/記事はありますか?

Apache v.2.4.10 を実行している Debian 8.0 を使用しており、libapach2-mod-auth-openidcバージョン 1.6.0 という名前の OpenID Connect モジュールを追加しようとしています。モジュールをインストールしたら、次のコマンドで有効にしますsudo a2enmod auth_openidc。これは正常に動作し、Apache サーバーを で再起動したいのsudo service apache2 restartですが、エラーが発生します。

「apache2 のジョブが失敗しました。詳細については、'systemctl status apache2.service' および 'journalctl -xn' を参照してください。」

の結果は systemctl status apache2.service 、サーバーの起動中にエラーを示していますが、エラーの詳細情報はありません(code=exited, status=1/FAILURE)。

の結果は journalctl -xn 、ジャーナルがないことを示しています。

したがって、auth_openidcモジュールを無効にすると、Apache サーバーは問題なく再起動します。

構成の詳細:

• Apache はデフォルト設定で実行されます。私は何も変えていません！
• auth_openidcこの時点では、モジュールも変更されていません。

auth_openidcモジュールが有効になっている Apache が起動しなくなった理由を誰か説明できますか?

mod_auth_openidc を Google と連携させ、OP として phpOIDC の手巻きバージョンを使用し、mod_auth_openidc を ID プロバイダーとして使用しています。

私の問題は、Microsoft の実装のバグのようです。

mod_auth_openidc は優れた mod であり、かなりの検証ログを実行します。

JWT で返されるものの 1 つは、オーディエンスである「aud」パラメーターです。

Open ID Connect 仕様によると:

aud REQUIRED. Audience(s) that this ID Token is intended for. It MUST contain the OAuth 2.0 client_id of the Relying Party as an audience value. It MAY also contain identifiers for other audiences. In the general case, the aud value is an array of case sensitive strings. In the common special case when there is one audience, the aud value MAY be a single case sensitive string.

私のクライアント ID は 00000001234 です (私の実際の ID ではありません。単なる例です)。

Windows Live から nonce の「コード」を取得し、それをトークンと交換しましたが、返されたトークンの「aud」値は次のとおりです。

00000000-0000-0000-0000-00000001234

mod_auth_openidc は、返されたトークンの「aud」値を正しくチェックし、「aud」が構成された cliend_id と一致しないため、エラーで応答します。

私の質問は、トークンの対象者を検証しない以外に、返されたトークンの「aud」値に対してクライアント ID を正しく返すように、MS Developer コンソールでアプリを構成する方法はありますか?

その実装でそのようなバグを報告するのに最適な場所はどこですか?

アプリケーションの 1 つで OpenID Connect を使用し、Apache の mod_auth_openidc を実装しています。セッションの有効期限を設定する方法はありますか? 現在の構成は次のようになります。

したがって、mod_auth_openidc を使用して Apache サーバー上にワイルドカード ホストがあります。私の Apache 構成の関連ビットは次のとおりです。

ユーザーが foo.sub.mydomain.com で認証され、再度ログインしなくても bar.sub.mydomain.com で認証されるのを妨げるものはありますか?

Django REST API フレームワークで開発された認証済み API からデータを取得しようとしました。REST API (mod_auth_openidc) で使用される機能です。同じ API を呼び出して、angular4 を使用してフロントエンドでデータを表示する必要があります。

https://github.com/damienbod/angular-auth-oidc-client

上記の方法を試してみましたが、Google認証のポップアップが正常に開き、ブラウザウィンドウにAPIが読み込まれます。認証が成功した後、API 呼び出しを行う必要があります。