caerp的Pyramid Oidc客户端库

python setup.py install

在你的OpenId身份验证中添加客户端（例如：Keycloak）

在Keycloak等SSO服务器中配置你的Open ID Connect客户端。

主机： https://caerp.mycae.coop

重要 创建一个自定义领域（不要使用主领域，你会遇到严重的安全问题：所有用户都将拥有Keycloak上的管理员权限）

添加客户端

• ClientID：caerp_client_id
• 名称：自由选择
• 根URL： https://caerp.mycae.coop
• 主页URL： https://caerp.mycae.coop
• 有效的重定向URI： https://caerp.mycae.coop/*
• 有效的注销后重定向URI： https://caerp.mycae.coop/login
• Web起源： https://caerp.mycae.coop
• 管理员URL：无
• 客户端认证：是
• 认证流程：检查以下
  • 标准流程
  • 隐式流程
  • 直接访问授权
• 禁用同意所需
• 后端注销URL: https://caerp.mycae.coop/oidc_backend_logout
• 后端注销会话所需: 是

检索客户端密钥

在“凭证”部分的keycloak客户端视图中，检索客户端的密钥（您需要它来配置caerp）

配置您的客户端: caerp

在您的caerp应用程序的ini文件中

pyramid.includes = ...
                   caerp_oidc_client.models

在同一ini文件中的稍后部分

caerp.authentification_module=caerp_oidc_client

oidc.client_secret=<Secret token from the OIDC server>
oidc.client_id=caerp_client_id
oidc.scope=openid roles
oidc.auth_endpoint_url=<Keycloak auth endpoint url>
oidc.token_endpoint_url=<Keycloak id token endpoint url>
oidc.logout_endpoint_url=<Keycloak logout endpoint url>

Keycloak的URL形式为

https://keycloak/realms/**my 自定义域名称**/protocol/openid-connect/auth

https://keycloak/realms/**my 自定义域名称**/protocol/openid-connect/token

https://keycloak/realms/**my 自定义域名称**/protocol/openid-connect/logout