单点登录 on DefectDojo Documentation

SAML 配置

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 支持通过 Enterprise Settings 界面进行 SAML 身份验证。开源版 DefectDojo 不包含单点登录（SSO）功能——有关开源版的访问控制，请参阅已授权用户。

ACS URL (Assertion Consumer Service)

您的身份提供程序需要知道在用户完成身份验证后应将 SAML 响应 POST 到哪里。DefectDojo 的 ACS URL 为：

授权连接器

Mon, 01 Jan 0001 00:00:00 +0000

授权连接器(Authorization Connectors)是一个页面,列出了 DefectDojo Pro 支持的每一个身份提供商、各自当前所处的状态,以及所使用的协议。在该页面出现之前,每个提供商都有各自独立的设置表单,无法在不逐一打开的情况下回答“这个实例上都配置了什么”这个问题。

授权连接器是 DefectDojo Pro 功能。可在连接 > 授权下找到该页面。只有超级用户才能查看或更改身份提供商配置。

页面结构

提供商被分为两个部分,每个部分按字母顺序列出,标题旁标有数量:

已配置的提供商——已在本实例上设置好的提供商,无论其当前是否处于开启状态。
可用的提供商——受支持但尚未配置的提供商。

这里刻意按“是否已配置”而非“是否已启用”来划分。一个曾被配置、随后又被关闭的提供商仍会留在“已配置的提供商”中,因为设置它的人会在那里查找它。其状态则显示在卡片上。

每张卡片显示:


图标和名称	提供商名称,不含协议
协议标签	`SAML 2.0`、`OAuth 2.0`、`OpenID Connect` 或 `LDAP`
状态标签	`Enabled`、`Disabled` 或 `Not configured`
`BETA` 标签	出现在仍处于测试阶段的提供商上
操作	已配置的提供商显示管理配置,可用的提供商显示配置

两个部分都设有搜索框,可按提供商名称和协议匹配,因此搜索 oauth 会将页面缩小到仅显示 OAuth 类提供商。

Auth0

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 支持通过 Auth0 登录。开源版 DefectDojo 不包含 SSO——开源版的访问控制请参见已授权用户。

前提条件

在配置 DefectDojo 之前,请先在您的 Auth0 控制台中完成以下步骤:

创建新应用:Applications > Create Application > Single Page Web Application。

Azure Active Directory

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 支持通过 Azure Active Directory(Azure AD)登录,包括自动的用户组同步。开源版 DefectDojo 不包含 SSO——开源版的访问控制请参见已授权用户。

前提条件

在配置 DefectDojo 之前,请先在 Azure 门户中完成以下步骤:

在 Azure Active Directory 中注册一个新应用。

GitHub Enterprise

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 支持通过 GitHub Enterprise 登录。开源版 DefectDojo 不包含 SSO——开源版的访问控制请参见已授权用户。

前提条件

在配置 DefectDojo 之前,请先在 GitHub Enterprise 中完成以下步骤:

在您的 GitHub Enterprise Server 中创建一个新的 OAuth 应用。

GitLab

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 支持通过 GitLab 登录。开源版 DefectDojo 不包含 SSO——开源版的访问控制请参见已授权用户。

前提条件

在配置 DefectDojo 之前,请先在 GitLab 中完成以下步骤:

前往您 GitLab 个人资料的应用页面:
- GitLab.com:https://gitlab.com/profile/applications
- 自托管:https://your-gitlab-host/profile/applications
创建一个新应用:

Google 身份验证

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 支持通过 Google 账户登录。首次登录时,如果新用户尚不存在,会自动创建。现有的 DefectDojo 用户会通过用户名(即 Google 邮箱中 @ 之前的部分)与 Google 账户进行匹配。开源版 DefectDojo 不包含 SSO——开源版的访问控制请参见已授权用户。

前提条件

在配置 DefectDojo 之前,请先在 Google Cloud Console 中完成以下步骤:

KeyCloak

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 支持通过 KeyCloak 登录。开源版 DefectDojo 不包含 SSO——开源版的访问控制请参见已授权用户。

本指南假定您已经配置好了一个 KeyCloak Realm。如果尚未配置,请参见 KeyCloak 文档。

前提条件

在配置 DefectDojo 之前,请先在您的 KeyCloak realm 中完成以下步骤:

添加一个类型为 openid-connect 的新客户端。记录该客户端 ID。

Okta

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 支持通过 Okta 登录。开源版 DefectDojo 不包含单点登录（SSO）功能——有关开源版的访问控制，请参阅已授权用户。

前提条件

在配置 DefectDojo 之前，请先在 Okta 中完成以下步骤：

前往 Okta 登录或创建账户。
进入 Applications，点击 Add Application。
选择 Web Applications。

OIDC

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 支持通过通用 OpenID Connect (OIDC) 提供程序登录。开源版 DefectDojo 不包含单点登录（SSO）功能——有关开源版的访问控制，请参阅已授权用户。

配置

在 DefectDojo 中，进入 Enterprise Settings > OIDC Settings。

填写表单：

Endpoint —— 您的 OIDC 提供程序的基础 URL。请勿包含 /.well-known/openid-configuration。
Client ID —— 您的 OIDC 客户端 ID。
Client Secret —— 您的 OIDC 客户端密钥。
可选配置 Claim Mapping 和 Group Mapping —— 参见下文。
勾选 Enable OIDC。

提交表单后，DefectDojo 登录页面上会出现一个 Log In With OIDC 按钮。