Gestione dell'adesione ai gruppi tramite autenticazione

angus · 8 Novembre 2021, 6:10am

Nota che ho apportato una bozza aggiornata di PR con un nuovo approccio (incorporando le modifiche richieste da @david nel mio ultimo tentativo). Come menzionato nei commenti al PR, sto cercando di terminarlo entro questa settimana.

github.com/discourse/discourse

Group membership via google hd authentication

main ← angusmcleod:group_membership_via_authentication

opened 06:06AM - 08 Nov 21 UTC

angusmcleod

+926 -16

Update on #12446. @davidtaylorhq A draft for an update on the associated grou…p membership work. It's been rebased, brought in line with the latest changes and updated in the ways explained below. Let me know if you're onboard with the approach so far. I'll finish it off next weekend. ### Authentication and group retrieval I've removed the secondary auth stuff, added a google-hd-specific boolean setting, and moved the group retrieval into a new google oauth2 omniauth strategy. I've made a new folder and added a spec for the strategy (something new in the codebase) as I thought it deserved a spec (which is also included). If we add in secondary auth to this strategy that too will need a spec. Some of the existing discourse omniauth strategies, e.g. Discord, may benefit from being seperated out and tested too. ### Group Provision and UI As suggested, I've added a ``provides_groups?`` to the ``Auth::Authenticator``. Using this approach led to a new groups guardian method to use at the various group CRUD points. Speaking of which, I've added in support for group_associated_group creation in group creation (i.e. ``/g/custom/new``). Supporting it in both ``new`` and ``manage`` (update) also led to adding a new site attribute ``can_associate_groups``. I attempted to make this more group-route specific, however this leads to various clumsy workarounds to determine whether an admin can associate groups in ``/g/custom/new``. The site attribute approach proved the simplest and most performant (i.e. fewer ajax calls). ### Data model I've made one change to the data model so far, namely to use ``after_commit`` hooks rather than ``after_create``/``after_destroy`` as using those hooks leads to duplicate record creation in ``Admin::GroupsController`` ``create``. I've yet to deal with the edge case you pointed out, i.e. multiple UserAssociatedGroups which link to the same group.

mattdm · 8 Novembre 2021, 2:57pm

Solo per non farmi eccitare senza motivo: questo dice “google”… funzionerà anche con SSO oauth2 non google?

angus · 8 Novembre 2021, 3:01pm

È un sistema generico, ma il primo caso d’uso supportato saranno i gruppi in un Google Workspace. Una volta che il sistema sarà operativo, aggiungere il supporto per provider aggiuntivi non sarà troppo difficile.

angus · 22 Novembre 2021, 6:06am

Si noti che questa PR è stata spostata da bozza a pubblicata durante il fine settimana (cioè è di nuovo pronta per la revisione).

github.com/discourse/discourse

Group membership via google hd authentication

main ← angusmcleod:group_membership_via_authentication

opened 06:06AM - 08 Nov 21 UTC

angusmcleod

+926 -16

Update on #12446. @davidtaylorhq A draft for an update on the associated grou…p membership work. It's been rebased, brought in line with the latest changes and updated in the ways explained below. Let me know if you're onboard with the approach so far. I'll finish it off next weekend. ### Authentication and group retrieval I've removed the secondary auth stuff, added a google-hd-specific boolean setting, and moved the group retrieval into a new google oauth2 omniauth strategy. I've made a new folder and added a spec for the strategy (something new in the codebase) as I thought it deserved a spec (which is also included). If we add in secondary auth to this strategy that too will need a spec. Some of the existing discourse omniauth strategies, e.g. Discord, may benefit from being seperated out and tested too. ### Group Provision and UI As suggested, I've added a ``provides_groups?`` to the ``Auth::Authenticator``. Using this approach led to a new groups guardian method to use at the various group CRUD points. Speaking of which, I've added in support for group_associated_group creation in group creation (i.e. ``/g/custom/new``). Supporting it in both ``new`` and ``manage`` (update) also led to adding a new site attribute ``can_associate_groups``. I attempted to make this more group-route specific, however this leads to various clumsy workarounds to determine whether an admin can associate groups in ``/g/custom/new``. The site attribute approach proved the simplest and most performant (i.e. fewer ajax calls). ### Data model I've made one change to the data model so far, namely to use ``after_commit`` hooks rather than ``after_create``/``after_destroy`` as using those hooks leads to duplicate record creation in ``Admin::GroupsController`` ``create``. I've yet to deal with the edge case you pointed out, i.e. multiple UserAssociatedGroups which link to the same group.

david · 9 Dicembre 2021, 12:32pm

Ho appena unito questo PR: un enorme grazie per tutto il tuo lavoro qui @angus! Non vedo l’ora di vedere come verrà utilizzato ed esteso in futuro!

Per ora ho etichettato l’impostazione del sito come “Sperimentale”, per darci il tempo di testarla e assicurarci che tutto funzioni senza problemi. Una volta che saremo sicuri e avremo aggiunto il supporto in alcuni altri provider di autenticazione, mi assicurerò di creare un argomento #feature:announcements per la funzionalità.

angus · 9 Dicembre 2021, 1:44pm

Fantastico! :)\n\n_Grazie_ a te David. Non sarebbe successo senza il tuo supporto. Felice di aiutare con l’aggiunta di provider aggiuntivi.

mattdm · 9 Dicembre 2021, 2:18pm

SÌ! Grazie a tutti. Stiamo pianificando di utilizzarlo ampiamente in Fedora una volta che funzionerà con oauth2.

jimkleiber · 10 Marzo 2022, 11:57pm

Sono anche entusiasta che questo sia disponibile per accessi non Google oauth2/openID… ci sono aggiornamenti su se/quando quell’opzione potrebbe essere disponibile?

david · 11 Marzo 2022, 11:49am

Non abbiamo una tempistica specifica, ma è sicuramente pr-welcome se qualcuno desidera inviare una patch

agungor · 19 Maggio 2022, 3:11pm

Non vedo l’ora anche io! Il caso d’uso per noi è estrarre l’appartenenza ai gruppi da Keycloak all’autenticazione.

irregular · 11 Agosto 2024, 10:25pm

Attualmente sto auto-ospitando Discourse e utilizzando Authentik come provider di identità per l’autenticazione. Quello che vorrei ottenere è sincronizzare automaticamente i gruppi degli utenti da Authentik con gruppi specifici in Discourse al momento dell’accesso.

Ma… voglio assicurarmi che gli utenti locali che si registrano tramite il processo di registrazione locale di Discourse non vengano assegnati a questi gruppi specifici e seguano invece la normale progressione del livello di fiducia.

bsoares · 10 Settembre 2025, 4:42pm

Ciao!

Abbiamo migrato la nostra autenticazione da Atlassian Crowd (ora non più supportato in Discourse) a OpenID Connect (tramite Keycloak) e volevamo utilizzare il codice di mappatura dei gruppi Crowd che abbiamo contribuito alcuni anni fa nel plugin discourse-openid-connect.

Abbiamo modifiche al codice funzionanti che consentono la configurazione delle mappe tra i gruppi OpenID Connect e i gruppi Discourse e le abbiamo inserite in una PR FEATURE: Openid connect group maps by benzoid · Pull Request #34763 · discourse/discourse · GitHub.

Speriamo che possa essere presa in considerazione per il merge e saremmo disposti ad aggiungere documentazione o test (se mi venisse indicato una guida per i test - non sono un programmatore ruby madrelingua (ancora)!).

Ben

david · 29 Aprile 2026, 11:00am

Per la cronaca: la sincronizzazione dei gruppi è ora disponibile per OIDC. Per ulteriori informazioni, consulta l’argomento del plugin e il changelog recente.

Discourse:

Sincronizzazione dei gruppi

Il plugin può sincronizzare automaticamente l’iscrizione ai gruppi dal tuo provider OpenID Connect ai gruppi di Discourse. Ad ogni accesso, il plugin leggerà la claim configurata nel token OIDC e aggiornerà di conseguenza l’iscrizione dell’utente ai gruppi. Per abilitare la sincronizzazione dei gruppi:

Configura il tuo provider di identità in modo che restituisca un array di gruppi in una delle claim. Deve trattarsi di un array di stringhe.

Imposta openid_connect_groups_claim sul nome della claim nel token OIDC che contiene i gruppi dell’utente (ad esempio cognito:groups). Una volta impostato, inizierà la sincronizzazione delle informazioni nel sistema “Gruppi associati” di Discourse.

Trova il gruppo di Discourse che desideri collegare. Vai su “Impostazioni” → “Iscrizione” → “Automatico”, quindi scegli i Gruppi associati da collegare. Questo elenco a discesa viene popolato con le informazioni provenienti dal provider di identità, quindi affinché appaia un’opzione, almeno un membro del gruppo deve aver effettuato l’accesso.

image2198×1340 242 KB

Argomento		Risposte	Visualizzazioni
Memberpress: how to add users to groups upon Sign up WordPress	40	9522	Giugno 8, 2024
Manage group membership in Discourse with WP Discourse SSO Administrators groups , wordpress , payments , how-to	77	17627	Maggio 7, 2023
Allow moderators to add a member to a group? Feature	49	11251	Dicembre 28, 2017
Groups API - manually syncing group membership? Development rest-api	8	1750	Dicembre 13, 2022
Improved Group Members Management Feature rfc , spec	31	11370	Gennaio 7, 2016

Gestione dell'adesione ai gruppi tramite autenticazione

Argomenti correlati