Keycloak / OIDC

ใส่การยืนยันตัวตนด้วย OpenID Connect หน้า EDDI โดยใช้ Keycloak หรือผู้ให้บริการ OIDC อื่น พร้อมบทบาทสำหรับผู้ดูแลระบบ ผู้แก้ไข ผู้ใช้ ผู้ดู และผู้อนุมัติ

สิ่งที่คุณได้รับ

การเข้าสู่ระบบของ Manager และ API ผ่านผู้ให้บริการระบุตัวตนของคุณ
บทบาท: eddi-admin, eddi-editor, eddi-user, eddi-viewer และ eddi-approver สำหรับการตัดสินอนุมัติ
realm eddi สำเร็จรูปที่ตัวติดตั้งนำเข้าไปใน Keycloak
การเรียกที่ทำในนามผู้ใช้ที่ลงชื่อเข้าใช้ ร่องรอยการตรวจสอบจึงระบุตัวบุคคลจริง

ทำงานอย่างไรใน EDDI

รันตัวติดตั้งด้วย --with-auth ตัวติดตั้งจะเริ่ม Keycloak และนำเข้า realm eddi ในการบูตครั้งแรก
ตั้งรหัสผ่านให้ผู้ใช้ eddi ในคอนโซลผู้ดูแลระบบของ Keycloak realm ที่มาพร้อมกันไม่มีรหัสผ่าน
ลงชื่อเข้าใช้ Manager มอบบทบาทที่จำเป็นให้ผู้ใช้ และเพิ่มผู้อนุมัติใน eddi-approver
หากมีผู้ให้บริการระบุตัวตนอยู่แล้ว ให้ตั้งตัวแปร QUARKUS_OIDC_* (เปิดใช้ tenant, auth server URL, client id, client secret)
ในการเรียก HTTP ใช้ ${caller:token} เพื่อเรียก API ด้วยโทเค็นของผู้ใช้ที่ลงชื่อเข้าใช้เอง แทนที่จะใช้ข้อมูลรับรองร่วมกันชุดเดียว

การตั้งค่า

นำมาจากเอกสารของ EDDI ค่าตัวอย่างเช่น your-agent-id ให้คุณแทนที่ด้วยค่าของคุณเอง

Install with Keycloakตัวเลือกของตัวติดตั้งที่เพิ่ม Keycloak

bash install.sh --with-auth

Point EDDI at your identity providerตัวแปรสภาพแวดล้อมสำหรับผู้ให้บริการ OIDC ภายนอก จากเอกสารของ EDDI

docker run -d \
  -p 7070:7070 \
  -e MONGODB_CONNECTIONSTRING='mongodb://mongo:27017/eddi?retryWrites=true&w=majority' \
  -e QUARKUS_OIDC_TENANT_ENABLED=true \
  -e QUARKUS_OIDC_AUTH_SERVER_URL='https://keycloak.example.com/realms/eddi' \
  -e QUARKUS_OIDC_CLIENT_ID=eddi \
  -e QUARKUS_OIDC_CREDENTIALS_SECRET="$OIDC_CLIENT_SECRET" \
  labsai/eddi:6.4.0

การกำกับดูแล

ในโหมดเริ่มระบบแบบ production EDDI จะไม่ยอมเริ่มทำงานเมื่อปิด OIDC เว้นแต่คุณเลือกยกเว้นอย่างชัดเจน การเปิด management API ทิ้งไว้จึงเป็นการตัดสินใจ ไม่ใช่อุบัติเหตุ
endpoint การอนุมัติต้องใช้บทบาท eddi-approver หรือเป็นเจ้าของ หรือเป็น eddi-admin
เมื่อใช้ ${caller:token} ร่องรอยการตรวจสอบจะบันทึกผู้ใช้จริง ข้อมูลรับรองแบบคงที่ที่ใช้ร่วมกันจะทำให้ทุกการกระทำรวมเป็นผู้กระทำคนเดียว

ควรรู้

การยืนยันตัวตนเป็นทางเลือกและปิดเป็นค่าเริ่มต้น Keycloak คือสิ่งที่ตัวติดตั้งจัดเตรียมให้ ผู้ให้บริการ OIDC รายอื่นใช้การตั้งค่าเดียวกัน แต่บางรายละเอียด (เช่น token endpoint ที่ประกาศสำหรับ A2A) จะสมมติเส้นทางแบบ Keycloak หากคุณไม่ได้กำหนดเอง
การนำเข้า realm ที่มาพร้อมกันเกิดขึ้นครั้งเดียว การแก้ไข JSON ภายหลังจะไม่ส่งผลต่อ Keycloak ที่กำลังทำงานอยู่

เริ่มต้นใช้งาน เอกสาร ↗

การเชื่อมต่อที่เกี่ยวข้อง

การตั้งค่าและพฤติกรรมในหน้านี้อ้างอิงเอกสารของ EDDI ตรวจสอบเมื่อ 2026-10-14 ชื่อฟิลด์และค่าเริ่มต้นอาจเปลี่ยนไประหว่างรุ่น โปรดยืนยันในเอกสารของรุ่นที่คุณใช้

คุณสมบัติ

สำหรับองค์กร

Managed Cloud และการสนับสนุนระดับองค์กร

ทรัพยากร