Saltar al contenido principal

SafeLine WAF

SafeLine (雷池) de Chaitin es un firewall de aplicaciones web (WAF) autoalojado. Permite iniciar sesión de usuarios a través de un proveedor OpenID Connect (OIDC) en dos lugares:

  • 身份认证 (autenticación de identidad) coloca una página de inicio de sesión frente a las aplicaciones protegidas por SafeLine. Admite OIDC desde SafeLine 8.6.0, en todas las ediciones.
  • 控制台登录方式 (método de inicio de sesión de la consola) inicia sesión de administradores en la consola de SafeLine. Admite OIDC desde SafeLine 9.0.0, y solo con una licencia comercial (商业版).

Ambos se configuran por separado, y cada uno necesita su propia redirect URL en Casdoor. La consola de SafeLine está en chino, por lo que esta página muestra sus etiquetas en chino con una traducción.

Crear la aplicación en Casdoor​

  1. En la consola de administración de Casdoor, abra la organización de sus usuarios y agregue una aplicación, o abra una existente.

  2. Agregue el callback de SafeLine a Redirect URLs, para cada dominio de una aplicación protegida que use el inicio de sesión, y para el dominio del portal de inicio de sesión unificado (统一认证) si lo utiliza:

    https://app.example.com/.safeline/auth/api/callback/oidc

  3. Guarde, y anote el Client ID y el Client secret.

Inicio de sesión en aplicaciones protegidas​

  1. En la consola de SafeLine, vaya a 身份认证 (autenticación de identidad) > 配置 (configuración) > 登录配置 (configuración de inicio de sesión), y abra la entrada OIDC de 第三方登录配置 (inicio de sesión de terceros).

  2. Complete los ajustes:

    SettingValue
    OIDC 服务器 URL (OIDC server URL)https://door.example.com
    Client ID<your-client-id>
    Client Secret<your-client-secret>
    标题名称 (title)Casdoor, or keep the default
    • OIDC 服务器 URL: La URL de Casdoor. SafeLine añade .well-known/openid-configuration para encontrar los endpoints.
    • <your-client-id>, <your-client-secret>: Los valores de la aplicación de Casdoor.
    • 自动关联账号 (vincular cuentas automáticamente): Opcional. Vincula al usuario de Casdoor con un usuario existente de SafeLine que tenga la misma dirección de correo electrónico o número de teléfono.

  3. Guarde, y en la configuración de cada aplicación protegida, active OIDC en sus 登录方式 (métodos de inicio de sesión) de 身份认证.

Un usuario que inicia sesión por primera vez debe esperar a que un administrador lo apruebe en 身份认证 > 用户管理 (gestión de usuarios), a menos que la aplicación permita el acceso inmediatamente después del inicio de sesión (认证后直接访问).

Iniciar sesión en la consola de SafeLine​

Esto requiere SafeLine 9.0.0 o posterior con una licencia comercial.

  1. En la consola de SafeLine, vaya a 通用设置 (configuración general) > 控制台管理 (gestión de la consola) > 控制台用户管理 (usuarios de la consola) > 登录方式 (método de inicio de sesión), y elija OIDC. Las versiones anteriores tienen esta opción bajo 系统设置 (configuración del sistema) > 控制台用户管理.

  2. Copie la 应用回调地址 (URL de devolución de llamada de la aplicación) que muestra la página, y agréguela a Redirect URLs de la aplicación de Casdoor. Para usar 测试登录 (prueba de inicio de sesión), también agregue la misma URL con /test añadido.

  3. Complete OIDC 服务器 URL (https://door.example.com), Client ID, y Client Secret.

  4. Agregue filas a 用户角色映射关系 (asignación de roles) para asignar un rol de consola a los usuarios de Casdoor:

    ColumnValue
    角色所属 Scope (scope of the role)profile
    用户角色参数 (claim)groups
    参数值 (value)The name of a Casdoor group, for example waf-admins
    控制台角色 (console role)超级管理, 配置管理, or 系统管理 (super, configuration, or system administrator)

    Casdoor envía los grupos del usuario en el claim groups. En la aplicación de Casdoor, en la pestaña OIDC/OAuth, configure Token group format como Name (group), para que el valor sea waf-admins en lugar de my-org/waf-admins.

  5. Haga clic en 测试登录 e inicie sesión en Casdoor con un usuario de un grupo asignado.

  6. Haga clic en 确定 (OK).

precaución

Cuando envíe la configuración de OIDC, SafeLine elimina las cuentas de consola existentes y cierra su sesión. A partir de ese momento, los administradores inician sesión en la consola solo a través de Casdoor. Pruebe el inicio de sesión primero.

Verificar el resultado​

  1. Abra una aplicación protegida en una ventana de navegador privada. SafeLine muestra su página de inicio de sesión con el botón OIDC.
  2. Haga clic en él e inicie sesión en Casdoor. SafeLine permite el paso al usuario, o después del primer inicio de sesión, espera a que un administrador apruebe al usuario.

Solución de problemas​

SymptomCause and fix
Casdoor shows Redirect URI: ... doesn't exist in the allowed Redirect URI listAdd the URL from the error to Redirect URLs. Each protected domain, the unified sign-in portal, and the console have their own callback.
The Client Secret is empty after savingA bug of SafeLine before 9.3.11. Upgrade SafeLine.
El portal de inicio de sesión unificado (统一认证) muestra 未知错误: Cannot read properties of null (reading 'auth_url') cuando cambia a OIDCUn problema abierto de SafeLine, chaitin/SafeLine#1273. El documento de descubrimiento de Casdoor no es la causa: se carga correctamente en la misma configuración.
An unknown error appears after the user returns from Casdoor, and reloading the page signs the user inAn open SafeLine issue, chaitin/SafeLine#1244.
No console role is assignedThe value in 参数值 differs from the group in the token. Check Token group format and the user's groups in Casdoor.

Véase también​