OpenProject企业版Kerberos认证集成指南

OpenProject企业版Kerberos认证集成指南

openproject OpenProject is the leading open source project management software. 项目地址: https://gitcode.com/gh_mirrors/op/openproject

前言

在企业级项目管理工具OpenProject中，集成Kerberos认证能够实现无缝的单点登录体验。本文将详细介绍如何在OpenProject企业版中配置Kerberos认证，让您的用户无需重复输入凭证即可安全访问系统。

Kerberos认证简介

Kerberos是一种网络认证协议，它通过密钥加密技术为客户端/服务器应用提供强身份验证。在企业环境中，Kerberos常用于实现单点登录(SSO)，用户只需登录一次即可访问多个系统资源。

准备工作

在开始配置前，请确保您已具备：

1. OpenProject企业版环境
2. 已配置好的Kerberos域环境（如Active Directory）
3. Apache Web服务器（用于OpenProject打包安装）

配置步骤详解

第一步：创建Kerberos服务主体和密钥表

1. 使用kadmin工具创建HTTP服务主体：

addprinc -randkey HTTP/openproject.example.com

2. 生成密钥表文件：

ktadd -k /etc/apache2/openproject.keytab HTTP/openproject.example.com

3. 设置密钥表文件权限：

chown www-data:www-data /etc/apache2/openproject.keytab
chmod 400 /etc/apache2/openproject.keytab

专业提示：密钥表文件相当于Kerberos认证的"密码本"，必须妥善保管并设置严格权限。

第二步：配置Apache服务器

1. 安装必要的Apache模块：

apt install libapache2-mod-auth-gssapi

2. 创建Kerberos配置文件/etc/openproject/addons/apache2/custom/vhost/kerberos.conf，内容如下：

<Location />
  AuthType GSSAPI
  AuthName "EXAMPLE.COM realm login"
  GssapiCredStore keytab:/etc/apache2/openproject.keytab
  GssapiBasicAuth On
  GssapiLocalName On
  GssapiAllowedMech krb5
  
  RequestHeader set X-Authenticated-User expr=%{REMOTE_USER}:MyPassword
  RequestHeader unset Authorization
  Require valid-user
</Location>

关键配置说明：

• GssapiLocalName On：去除域名部分，仅传递用户名
• RequestHeader：将认证信息传递给OpenProject后端
• Require valid-user：强制要求有效用户认证

第三步：配置OpenProject识别认证头

通过环境变量配置OpenProject：

openproject config:set OPENPROJECT_AUTH__SOURCE__SSO_HEADER="X-Authenticated-User"
openproject config:set OPENPROJECT_AUTH__SOURCE__SSO_SECRET="MyPassword"

安全建议：MyPassword应替换为强密码，这是防止伪造认证头的重要防线。

第四步：重启服务

service openproject restart
service apache2 restart

第五步：测试登录

配置完成后，访问OpenProject将自动跳转至Kerberos认证流程。现有用户将自动登录，新用户（若配置了LDAP自动注册）将从LDAP同步创建。

高级配置：API访问问题解决

Kerberos认证会干扰OpenProject API的正常使用，解决方案是创建专用API路径：

ProxyPass /openproject-api/ http://127.0.0.1:6000/openproject/
ProxyPassReverse /openproject-api/ http://127.0.0.1:6000/openproject/

<LocationMatch "^/(?!openproject-api)">
  # 原有Kerberos配置
</LocationMatch>

这样，通过/openproject-api/路径访问API将绕过Kerberos认证。

常见问题排查

1. 认证失败：

   • 检查密钥表文件权限
   • 验证服务主体名称是否与访问域名完全匹配
   • 检查系统时间同步（Kerberos对时间敏感）

2. API无法使用：

   • 确保已正确配置API专用路径
   • 检查请求头是否包含正确的Authorization信息

3. 混合认证环境：

   • 设置OPENPROJECT_AUTH__SOURCE__SSO_OPTIONAL=true可使Kerberos认证可选

安全最佳实践

1. 始终使用HTTPS加密传输
2. 定期轮换密钥表文件
3. 限制密钥表文件的访问权限
4. 监控认证日志异常

结语

通过本文指导，您已成功将Kerberos认证集成到OpenProject企业版中。这种集成不仅提升了用户体验，还增强了系统安全性。对于大型企业环境，这种无缝认证机制能显著提高工作效率并降低密码管理负担。

专业建议：在生产环境部署前，建议在测试环境充分验证所有配置，并制定详细的回滚方案。

openproject OpenProject is the leading open source project management software. 项目地址: https://gitcode.com/gh_mirrors/op/openproject