oauth2-proxyで既存アプリにAzure AD OpenID Connect認証機能を追加

# apt update
# add-apt-repository ppa:ondrej/php -y
# apt update
# apt -y install php8.3 php8.3-gd php8.3-mbstring php8.3-common php8.3-curl
# php -v
PHP 8.3.1 (cli) (built: Dec 21 2023 20:12:13) (NTS)
# apt -y remove apache2-*
# apt install php-fpm -y
# apt install nginx -y
# nginx -v
nginx version: nginx/1.18.0 (Ubuntu)
# vi /etc/nginx/fastcgi_params

fastcgi_param  SCRIPT_NAME        $fastcgi_script_name;
↓
fastcgi_param  SCRIPT_FILENAME    $document_root$fastcgi_script_name;
fastcgi_param  SCRIPT_NAME        $fastcgi_script_name;

# mkdir -p /opt/webapps/php
# chown -R www-data: /opt/webapps
# mkdir -p /var/log/webapps/php
# vi /opt/webapps/php/info.php

<?php
phpinfo();

# vi /etc/nginx/conf.d/webapps-info.conf

server  # サーバーブロックの開始
{
  listen 80;  # サーバーが待ち受けるポート番号（HTTPのデフォルトポートは80）

  server_name webapps-php.example.com;  # サーバーの名前（ドメイン名）

  access_log /var/log/webapps/php/access.log;  # アクセスログの出力先
  error_log /var/log/webapps/php/error.log;  # エラーログの出力先

  proxy_buffer_size 8k;  # プロキシバッファのサイズ（8キロバイト）

  root /opt/webapps/php;  # サーバーのルートディレクトリ

  location /  # ルートディレクトリに対する設定
  {
    index index.html index.htm index.php;  # デフォルトで使用するインデックスファイル
  }

  location ~ [^/]\.php(/|$)  # .phpで終わるリクエストに対する設定
  {
    fastcgi_split_path_info ^(.+?\.php)(/.*)$;  # パス情報を分割する正規表現

    if (!-f $document_root$fastcgi_script_name)  # ファイルが存在しない場合
    {
      return 404;  # 404エラーを返す
    }

    client_max_body_size 100m;  # クライアントからの最大ボディサイズ（100メガバイト）

    fastcgi_param HTTP_PROXY "";  # HTTP_PROXYパラメータを空に設定（セキュリティ対策）

    fastcgi_pass unix:/run/php/php8.3-fpm.sock;  # FastCGIサーバーへのパス
    fastcgi_index index.php;  # FastCGIサーバーのインデックスファイル

    include fastcgi_params;  # FastCGIパラメータのインクルード
  }
}

# vi /etc/php/8.3/fpm/php.ini

date.timezone = Asia/Tokyo

# vi /etc/hosts
192.168.11.9 webapps-php.example.com

# systemctl restart nginx
# systemctl restart php8.3-fpm

# apt update -y
# apt install golang-go -y
# go version
go version go1.18.1 linux/amd64

# apt install git -y
# cd /opt
# git clone https://github.com/oauth2-proxy/oauth2-proxy.git

# go install -v golang.org/x/tools/gopls@latest

# mkdir -p /var/log/webapps/oauth2-proxy

# openssl genrsa -out ca.key 2048
# openssl req -new -key ca.key -out ca.csr
Country Name (2 letter code) [AU]:JP
State or Province Name (full name) [Some-State]:Aichi
Locality Name (eg, city) []:Toyota
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:webapps-php.example.com
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
# echo "subjectAltName=DNS:*.example.com,IP:192.168.11.9" > san.txt
# openssl x509 -req -days 365 -in ca.csr -signkey ca.key -out ca.crt -extfile san.txt
Signature ok
subject=C = JP, ST = Aichi, L = Toyota, O = Default Company Ltd, CN = webapp.example.com
Getting Private key
# mkdir -p /etc/pki/tls/certs
# mkdir /etc/pki/tls/private
# mv ca.crt /etc/pki/tls/certs/oauth2-proxy.crt
# mv ca.key /etc/pki/tls/private/oauth2-proxy.key
# mv ca.csr /etc/pki/tls/private/oauth2-proxy.csr

# vi /etc/nginx/conf.d/oauth2-proxy.conf

server # サーバーブロックの開始。このブロック内の設定は、特定のサーバーまたは仮想ホストに適用されます。
{
  listen 443 ssl; # サーバーが443ポートでSSL接続をリッスンするように指示します。
  ssl_certificate /etc/pki/tls/certs/oauth2-proxy.crt; # SSL証明書のパスを指定します。
  ssl_certificate_key /etc/pki/tls/private/oauth2-proxy.key; # SSL証明書の秘密鍵のパスを指定します。
  server_name _; # サーバー名を指定します。ここではワイルドカード（_）が使用されています。
  access_log /var/log/webapps/oauth2-proxy/access.log; # アクセスログの出力先を指定します。
  error_log /var/log/webapps/oauth2-proxy/error.log; # エラーログの出力先を指定します。

  proxy_buffer_size 8k; # プロキシバッファのサイズを8KBに設定します。
  resolver 127.0.0.53 ipv6=off; # DNSリゾルバとして127.0.0.53を使用し、IPv6を無効にします。

  location / # ロケーションブロックの開始。このブロック内の設定は、特定のURLパターンに適用されます。
  {
    auth_request /oauth2/auth; # 認証リクエストを指定したURLに送信します。
    error_page 401 = /oauth2/sign_in?rd=$request_uri; # 401エラー（未認証）が発生した場合のリダイレクト先を指定します。
    index index.html index.htm index.php; # ディレクトリインデックスとして使用するファイルを指定します。
    proxy_pass http://$host; # リクエストを指定したプロキシサーバーに転送します。
    #proxy_ssl_verify off; # プロキシサーバーのSSL証明書の検証を無効にします（コメントアウトされています）。
  }

  location /oauth2/ { # /oauth2/ ロケーションブロックの開始。
    proxy_pass http://127.0.0.1:4180; # リクエストを指定したoauth2-proxyサーバーに転送します。
    proxy_set_header Host $host; # プロキシリクエストのHostヘッダーを設定します。
    proxy_set_header X-Real-IP $remote_addr; # プロキシリクエストのX-Real-IPヘッダーを設定します。
    proxy_set_header X-Scheme $scheme; # プロキシリクエストのX-Schemeヘッダーを設定します。
  }

  location /oauth2/auth { # /oauth2/auth ロケーションブロックの開始。
    proxy_pass http://127.0.0.1:4180; # リクエストを指定したoauth2-proxyサーバーに転送します。
    proxy_set_header Host $host; # プロキシリクエストのHostヘッダーを設定します。
    proxy_set_header X-Real-IP $remote_addr; # プロキシリクエストのX-Real-IPヘッダーを設定します。
    proxy_set_header X-Scheme $scheme; # プロキシリクエストのX-Schemeヘッダーを設定します。
    proxy_set_header Content-Length ""; # プロキシリクエストのContent-Lengthヘッダーを空に設定します。
    proxy_pass_request_body off; # プロキシリクエストのボディの転送を無効にします。
  }
}

# systemctl restart nginx

# add-apt-repository ppa:longsleep/golang-backports -y
# apt update
# apt install golang-go -y
# go version
go version go1.21.4 linux/amd64

{
    // IntelliSense を使用して利用可能な属性を学べます。
    // 既存の属性の説明をホバーして表示します。
    // 詳細情報は次を確認してください: https://go.microsoft.com/fwlink/?linkid=830387
    "version": "0.2.0",
    "configurations": [
        {
            "name": "Launch Package",
            "type": "go",
            "request": "launch",
            "mode": "auto",
            "program": "${fileDirname}",
            "args": ["--config=/opt/oauth2-proxy/oauth2-proxy.cfg"],
        }
    ]
}

# head -c 24 /dev/urandom | base64
6s1wlAH00x80vPOftMiBwCzcEeyr23y4

# vi /opt/oauth2-proxy/oauth2-proxy.cfg

# Azure ADを使用して認証を行います。
provider = "azure"
# OAuth2 ProxyがHTTP/HTTPSクライアントを待ち受けるアドレスとポートを指定します。
http_address = "127.0.0.1:4180"
# 許可されるEメールのドメインを指定します。ここではワイルドカードが使われており、どのドメインのEメールアドレスも許可されます。
email_domains = ["*"]
# OAuth2 プロバイダに要求するスコープを指定します。"openid" は OpenID Connect フローを使用することを意味します。
scope = "openid"
# OAuth2プロキシが発行するCookieのシードに使われる値を指定します。
cookie_secret = "6s1wlAH00x80vPOftMiBwCzcEeyr23y4"
# この行はコメントアウトされていますが、もし有効化された場合、CookieがHTTPS接続でのみ送信されることを指定します。
#cookie_secure = false
# この行もコメントアウトされていますが、もし有効化された場合、セッションCookieが最小限の情報のみを含むようになります。
#session_cookie_minimal = true
# OpenID ConnectプロバイダのURLを指定します。
oidc_issuer_url = "https://login.microsoftonline.com/＜Azure AD ディレクトリ (テナント) ID＞/v2.0"
# OAuth2プロバイダに登録したクライアントのIDを指定します。
client_id = "＜Azure AD アプリケーション (クライアント) ID＞"
# OAuth2プロバイダに登録したクライアントシークレットを指定します。
client_secret = "＜Azure AD 証明書とシークレットの「値」＞"
# OAuth2プロバイダからの認証応答を受け取るためのリダイレクトURLを指定します。
redirect_url = "https://webapps-php.example.com/oauth2/callback"
# Azure AD のテナントIDを指定します。
azure_tenant = "＜Azure AD ディレクトリ (テナント) ID＞"
# プロバイダの選択ボタンをスキップするかどうかを指定します。true が指定されている場合、ユーザーは直接プロバイダのログインページにリダイレクトされます。
skip_provider_button = true