OpenID Connect SSO Contao Bundle

OpenID Connect (OICD) Contao Bundle

composer require swoopde/contao-sso-bundle:^1.0

Mit dem OpenID Connect (OIDC) SSO Bundle für Contao verbindest du dein Contao-Backend mit einem zentralen Identity-Provider wie Keycloak, Microsoft Entra ID (Azure AD), Authentik, Auth0, Okta oder jedem anderen OpenID-Connect-kompatiblen System. Du meldest dich einmal am Identity-Provider an und erhältst anschließend direkten Zugriff auf dein Contao-Backend – sicher, komfortabel und ohne zusätzliche Passwörter.

Readme.md

Funktionen & Unterstützte Identity Provider

Single Sign-On (SSO) für das Contao-Backend
Single Logout (SLO)
OpenID Connect Authorization Code Flow mit PKCE
Automatische Discovery der Provider-Konfiguration
Sichere JWT- und JWKS-Validierung
Automatische Benutzeranlage (Provisioning)
Verknüpfung bestehender Contao-Benutzer
Zuordnung über Issuer, Client-ID und Subject
Optionales Mapping über Benutzername oder E-Mail-Adresse
Automatische Aktualisierung von Benutzerdaten
Verschlüsselte Speicherung sensibler Zugangsdaten
Umfangreiche Debug- und Diagnosefunktionen
Unterstützung individueller Backend-URLs (z. B. /admin statt /contao)

Das Bundle funktioniert mit allen OpenID-Connect-konformen Identity-Providern, unter anderem:

Keycloak (Manuell getestet)
Microsoft Entra ID (Azure AD)
Auth0
Authentik
Okta
Zitadel
Google Identity
GitLab
viele weitere OIDC-kompatible Lösungen

Einstellungen

Funktionen

OpenID Connect Authorization Code Flow mit PKCE

OpenID Discovery

JWKS-Signaturprüfung

Backend-Authentifizierung (tl_user)

Automatische Benutzeranlage

Benutzerzuordnung über Subject, E-Mail oder Benutzername

Frei konfigurierbares Claim-Mapping

Standardgruppen für neue Benutzer

RP-Initiated Logout

Lokaler Notfall-Login

Debug-Logging mit Maskierung sensibler Daten

Kompatibel mit Keycloak und allen standardkonformen OIDC-Providern

{ "type": "module", "scripts": { "js": "bun run _scripts/js.mjs", "scss:prod": "sass files_resources/scss/app.scss --style=compressed | postcss --config postcss.config.cjs -o files/assets/css/app.min.css", "scss": "sass files_resources/scss/app.scss files/assets/css/app.min.css --style=compressed --source-map", "scss:be": "sass files_resources/scss/be.contao.scss assets/css/be.contao.css --style=compressed --source-map", "scss:be:prod": "sass files_resources/scss/be.contao.scss --style=compressed | postcss --config postcss.config.cjs -o assets/css/be.contao.css", "postcss": "postcss files/assets/css/app.min.css --use autoprefixer cssnano postcss-import @tailwindcss/postcss -o files/assets/css/app.min.css", "svg:copy": "cpy 'files_resources/svg/**/*.{svg,SVG}' '!files_resources/svg/brands/**/*.{svg,SVG}' '!files_resources/svg/technique/**/*.{svg,SVG}' files/assets/svg", "svg:modify": "bun run _scripts/modify-svg.mjs", "img:copy": "cpy 'files_resources/img/**/*.{png,jpg,jpeg,gif,ico}' files/assets/img", "fonts:copy": "cpy 'files_resources/fonts/**/*' 'node_modules/@fortawesome/fontawesome-free/webfonts/*' files/assets/fonts", "build": "bun run js && bun run scss && bun run postcss && bun run svg:copy && bun run svg:modify && bun run img:copy && bun run fonts:copy && bun run scss:be", "watch": "chokidar 'files_resources/**/*.{scss,js}' -c 'bun run build'" } }

# This job runs in the deploy stage. deploy-job: image: $IMAGE_DEPLOY_ONLY stage: deploy # It only runs when *both* jobs in the test stage complete successfully. environment: name: production only: - main # nur in main branch ausführen! # variables: # GIT_STRATEGY: none # Git-Checkout für diese Stage verhindern, [none,fetch,clone] before_script: - mkdir -p ~/.ssh - echo $SSH_PRIVATE_KEY_AS_BASE_64 | base64 -d > ~/.ssh/$FILENAME_SSH - chmod 600 ~/.ssh/$FILENAME_SSH - eval $(ssh-agent -s) - ssh-add ~/.ssh/$FILENAME_SSH # Erstelle die SSH Konfigurationsdatei #ServerAliveInterval 60\n ServerAliveCountMax 2\n ExitOnForwardFailure yes #ServerAliveInterval 60 → Sendet jede 60 Sekunden ein Keep-Alive-Signal. #ServerAliveCountMax 2 → Trennt die Verbindung, wenn 2 Keep-Alive-Signale ausbleiben. #ExitOnForwardFailure yes → Verhindert das Offenlassen von hängenden SSH-Verbindungen. - echo -e "Host $SSH_CONFIG_HOST\nHostName $SSH_CONFIG_HOSTNAME\nUser $SSH_CONFIG_USER\nPort $SSH_CONFIG_PORT\nIdentityFile ~/.ssh/$FILENAME_SSH\nIdentitiesOnly yes\nStrictHostKeyChecking no\nServerAliveInterval 60\nServerAliveCountMax 2\nExitOnForwardFailure yes" > ~/.ssh/config - chmod 644 ~/.ssh/config # Verhindert SSH-Warnungen - echo $SSH_CONFIG_HOSTNAME $SSH_CONFIG_HOST >> /etc/hosts - cat /etc/hosts - echo $SSH_CONFIG_HOST - ssh-keyscan $SSH_CONFIG_HOST > ~/.ssh/known_hosts - chmod 644 ~/.ssh/known_hosts - cat ~/.ssh/known_hosts #Erstelle unter _dep/from_gitlab_to_live eine neue .deploy.env Datei - echo "PHP_VERSION=$PHP_VERSION" > ./_dep/from_gitlab_to_live/.deploy.env - echo "PHP_CMD=/usr/bin/php$PHP_VERSION" >> ./_dep/from_gitlab_to_live/.deploy.env # Achtung WEB_PATH_LOCAL wird zusammengesetzt - echo "WEB_PATH_LOCAL=/builds/$CI_PROJECT_PATH/" >> ./_dep/from_gitlab_to_live/.deploy.env - echo "WEB_PATH_REMOTE=$DEPLOYER_WEB_PATH_REMOTE" >> ./_dep/from_gitlab_to_live/.deploy.env - echo "CHOWN_USER=$DEPLOYER_CHOWN_USER" >> ./_dep/from_gitlab_to_live/.deploy.env - echo "CHOWN_GROUP=$DEPLOYER_CHOWN_GROUP" >> ./_dep/from_gitlab_to_live/.deploy.env - echo "HOST_SSH_CONFIG=$SSH_CONFIG_HOST" >> ./_dep/from_gitlab_to_live/.deploy.env - echo "RSYNC_FILTER_FILE=$DEPLOYER_RSYNC_FILTER_FILE" >> ./_dep/from_gitlab_to_live/.deploy.env - echo "RSYNC_FILTER_FOR_BUILD_FILE=$DEPLOYER_RSYNC_FILTER_FOR_BUILD_FILE" >> ./_dep/from_gitlab_to_live/.deploy.env

OpenID Connect (OICD) Contao Bundle

Funktionen & Unterstützte Identity Provider

Einstellungen

Datenschutzinfos und Einstellungen