authentik实践之二、配置oAuth2/OIDC集成grafana

authentik 官方对接文档信息

## 官方对接文档：  https://integrations.goauthentik.io/monitoring/grafana/#role-mappings

## 关键信息（authentik 回调grafana的地址  https://xxxx.xxxx.cn/login/generic_oauth）

authentik 创建 应用程序、提供程序（application、provider）

应用程序 绑定用户/用户组（作用：授权 用户/用户组 有权限访问 该应用）

grafana 配置修改（/etc/grafana/grafana.ini）

第一个板块内容

[auth]
signout_redirect_url = https://sso.xx.cn/application/o/grafana/end-session/
# Optionally enable auto-login （关闭自动登录，防止异常，一定要关哦）
# oauth_auto_login = true
oauth_auto_login = false

第二个板块内容

[auth.generic_oauth]
name = SSO 统一认证系统
enabled = true
client_id = xxxxxxx
client_secret = xxxxxxxzhxzGWaGb497CbNxxxxxxx
auth_url = https://sso.xx.cn/application/o/authorize/
token_url = https://sso.xx.cn/application/o/token/
api_url = https://sso.xx.cn/application/o/userinfo/

# 禁用角色覆盖(若为false 或者没有这条配置，则每次用户登录都去sso 获取角色分组，且grafana admin管理员不能对其进行修改)
skip_org_role_sync = true

# 属性映射
scopes = openid email profile
email_attribute_name = email
login_attribute_path = preferred_username
name_attribute_path = name

# Optionally map user groups to Grafana roles
role_attribute_path = contains(groups, 'Grafana Admins') && 'Admin' || contains(groups, 'Grafana Editors') && 'Editor' || 'Viewer'

第三个板块内容（默认grafana 使用三方登录跳转地址是 localhost,需要改成真实的地址 或者访问的代理url）

root_url = https://cn-grafana.xxx.cn/

# 改完后重启 systemctl restart grafana-server.service