UAA 教程

UAA 是 User Account and Authentication 首字母的縮寫, 是 CloudFoundry(一個 PaaS 服務供應商)開源的用戶帳號和身份認證服務,可用于搭建 OAuth2 認證授權服務器。

1. 參考

• cloud foundry 官網
• uaa github

2. 本地運行

打開 uaa github 頁面,按照文檔說明,檢出源碼,默認分支為 develop,因為 develop 分支內容會不斷更新,內容更新后可能運行效果與文檔描述不符,所以這里使用最近的一個固定版本 74.21.0。

服務會使用 8080 和 8081 端口,如果這些端口已被使用會導致啟動失敗。啟動成功后,服務處于監聽狀態:

Figure 1. 本地啟動項目

如果啟動失敗,可以通過命令 sudo lsof | grep uaa.log 找到日志文件:

Figure 2. 定位日志文件

然后查看日志信息: tail -100f /private/var/folders/1s/ly4n5ft11r19j6859j20mb380000gn/T/uaa-8080/logs/uaa.log

服務停止后,8080 端口會釋放,但 8081 端口不會,需要手動 kill 8081 端口,才能再次啟動服務。

3. 配置 MySQL 數據庫

默認使用 hsqldb 內存數據庫,你可以切換成 postgresql 或者 mysql。

打開配置文件 uaa/src/main/resources/uaa.yml:

啟用 MYSQL profile:

Figure 3. 啟用 MYSQL 配置

修改 MYSQL 配置:

Figure 4. 修改 MYSQL 配置

在本地創建 uaa 數據庫: create database uaa。

使用 MYSQL8 會有問題,這是一個已知的 BUG 940,因為 UAA 使用的 groups 表在 MYSQL8 中成了關鍵字,目前官方尚未修復此 BUG。筆者本機之前使用的 8.0 版本,測試無法使用,重新通過 docker 裝了一個 5.7.30 版本才可以。

4. 修改 JWT 簽名

UAA 默認使用 HMAC256 加密算法生成簽名,簽名 key 值默認為:tokenKey。連接 UAA 認證服務器的資源服務器也需要用此簽名 key 校驗 token 值。在使用 org.springframework.security:spring-security-oauth2-jose:5.3.2.RELEASE搭建資源服務器時,Spring 默認使用 client_secret 的值作為簽名 key,所以兩者不兼容。

為了統一兩者,改成 RSA 簽名方式,打開 scripts/cargo/uaa.yml 文件,修改 jwt.token.signing-key :

Figure 5. 修改簽名 Key

Figure 6. 修改簽名 Key

HMAC256 是對稱加密,所有只有一個值。RSA 是非對稱加密,所以需要配置 2 個值,jwt.token.signing-key 配置私鑰,jwt.token.verification-key 配置公鑰。

5. 部署到 Tomcat

通過 ./gradlew run 啟動服務,不能在后臺運行,也不能部署到服務器,現修改配置將其部署到 Tomcat,筆者這里使用的版本是 Tomcat 9.0.36。

拷貝 scripts/cargo/log4j2.properties 文件至 uaa/src/main/resources 目錄下。

拷貝 scripts/cargo/uaa.yml 的內容至 uaa/src/main/resources/uaa.yml 中:

直接把拷貝的內容放在末尾,然后通過 --- 分割。

部署 uaa/build/libs/cloudfoundry-identity-uaa-0.0.0.war 到 Tomcat 實例:

先在 IDEA 內運行檢查下是否存在問題,然后可以直接在 tomcat 目錄下通過命令啟動:

6. 修改 issuer 地址

這是一個已知的問題 #805。 當你在資源服務器中將 issuer 配置為 http://localhost:8080/uaa 時,通過 http://localhost:8080/uaa/.well-known/openid-configuration 得到的 JSON 數據中 issuer 的值為 http://localhost:8080/uaa/oauth/token ,如此一來兩個 issuer 的值就不同了,在使用org.springframework.security:spring-security-oauth2-jose:5.3.2.RELEASE搭建資源服務器時,Spring 會校驗這兩個值必須相等。你需要將 issuer 配置為 http://localhost:8080/uaa/oauth/token ,通過 http://localhost:8080/uaa/oauth/token/.well-known/openid-configuration 獲取配置信息也是符合標準規范的。