Authelia与Matomo的OpenID Connect集成指南

Authelia与Matomo的OpenID Connect集成指南

authelia The Single Sign-On Multi-Factor portal for web apps 项目地址: https://gitcode.com/gh_mirrors/au/authelia

前言

在现代Web应用中，身份认证是一个关键的安全组件。Authelia作为一个开源的认证和授权服务器，提供了强大的OpenID Connect（OIDC）功能。本文将详细介绍如何将Authelia与流行的网站分析平台Matomo进行集成，实现基于OIDC的单点登录功能。

环境准备

版本要求

• Authelia: v4.38.14及以上版本
• Matomo: v5.1.2及以上版本
• Login OIDC插件: v5.0.0及以上版本

假设条件

本教程基于以下假设配置：

• Matomo应用根URL: https://matomo.example.com/
• Authelia根URL: https://auth.example.com/
• 客户端ID: matomo
• 客户端密钥: insecure_secret

配置步骤

1. 安装Login OIDC插件

在Matomo中安装OIDC登录插件是集成的第一步：

1. 登录Matomo管理后台
2. 导航至"系统" > "插件" > "管理插件"
3. 选择"从市场安装插件"
4. 搜索并安装由dominik-th开发的"Login OIDC"插件

2. 配置Authelia客户端

在Authelia的配置文件中添加Matomo作为OIDC客户端：

identity_providers:
  oidc:
    clients:
      - client_id: 'matomo'
        client_name: 'Matomo'
        client_secret: '$pbkdf2-sha512$310000$c8p78n7pUMln0jzvd4aK4Q$JNRBzwAo0ek5qKn50cFzzvE9RXV88h1wJn5KGiHrD0YKtZaR/nCb2CJPOsKaPK0hjf.9yHxzQGZziziccp6Yng'
        public: false
        authorization_policy: 'two_factor'
        redirect_uris:
          - 'https://matomo.example.com/index.php?module=LoginOIDC&action=callback&provider=oidc'
        scopes:
          - 'openid'
          - 'groups'
          - 'email'
        userinfo_signed_response_alg: 'none'
        token_endpoint_auth_method: 'client_secret_post'

关键配置说明：

• client_secret: 使用PBKDF2-SHA512加密的客户端密钥
• authorization_policy: 设置为'two_factor'要求双因素认证
• redirect_uris: 必须准确匹配Matomo的回调URL
• scopes: 定义了请求的用户信息范围

3. 配置Matomo OIDC设置

在Matomo中完成OIDC配置：

1. 进入"系统" > "常规设置" > "Login OIDC"
2. 填写以下信息：
   • 授权URL: https://auth.example.com/api/oidc/authorization
   • Token URL: https://auth.example.com/api/oidc/token
   • 用户信息URL: https://auth.example.com/api/oidc/userinfo
   • 用户信息ID字段: sub
   • 客户端ID: matomo
   • 客户端密钥: insecure_secret
   • OAuth范围: openid email

技术原理

这种集成方式基于OAuth 2.0授权框架和OpenID Connect协议。当用户尝试登录Matomo时：

1. Matomo将用户重定向到Authelia的授权端点
2. Authelia处理认证流程（包括可能的双因素认证）
3. 认证成功后，Authelia将授权码返回给Matomo
4. Matomo使用授权码向Authelia请求访问令牌
5. Authelia验证请求并返回包含用户身份的ID令牌
6. Matomo验证令牌并创建用户会话

安全建议

1. 生产环境：务必替换示例中的insecure_secret为强密码
2. HTTPS：确保所有通信都通过HTTPS进行
3. 范围限制：根据实际需求最小化请求的范围
4. 令牌验证：Matomo应验证ID令牌的签名和有效期

常见问题

1. 登录失败：检查回调URL是否与Authelia配置完全匹配
2. 用户信息不完整：确保请求了正确的scopes
3. 双因素认证问题：确认Authelia的认证策略与用户配置匹配

总结

通过本文的指导，您已经成功将Authelia与Matomo集成，实现了基于OpenID Connect的安全认证。这种集成不仅提高了安全性，还简化了用户的登录体验。对于需要更高安全性的环境，可以考虑进一步定制认证策略或添加额外的安全措施。

authelia The Single Sign-On Multi-Factor portal for web apps 项目地址: https://gitcode.com/gh_mirrors/au/authelia