Single Sign-On OIDC

​

Variabili d’ambiente

# Configurazione OIDC principale
BACKEND_OIDC_CLIENT_ID=your_client_id
BACKEND_OIDC_CLIENT_SECRET=your_client_secret
BACKEND_OIDC_CALLBACK_URL=https://your-teable-domain.com/api/auth/oidc/callback

# Endpoint OAuth (forniti dal tuo IdP)
BACKEND_OIDC_AUTHORIZATION_URL=https://your-idp.com/authorize
BACKEND_OIDC_TOKEN_URL=https://your-idp.com/token
BACKEND_OIDC_USER_INFO_URL=https://your-idp.com/userinfo
BACKEND_OIDC_ISSUER=https://your-idp.com

# Opzioni aggiuntive
BACKEND_OIDC_OTHER={"scope":["email","profile"]}

# Abilita OIDC come provider di autenticazione
SOCIAL_AUTH_PROVIDERS=oidc

​

Riferimento per la configurazione

​

Abilitare più provider di autenticazione

SOCIAL_AUTH_PROVIDERS=github,google,oidc

​

Requisiti di sicurezza del provider di identità

• Collega soltanto IdP di livello enterprise sotto il tuo controllo (come Okta, Azure Entra ID, Google Workspace o Keycloak) con la verifica dell’email abilitata.
• Se l’istanza usa esclusivamente l’SSO, imposta PASSWORD_LOGIN_DISABLED=true per disabilitare l’accesso locale con password e ridurre ulteriormente la superficie di attacco.

​

Note importanti

1. HTTPS obbligatorio: in produzione, tutti gli URL devono usare HTTPS
2. L’URL di callback deve corrispondere: l’URL di callback in Teable deve corrispondere esattamente a quello configurato nell’IdP
3. Riavvio obbligatorio: dopo aver modificato le variabili d’ambiente, riavvia Teable affinché le modifiche abbiano effetto
4. Storage sicuro: non eseguire mai il commit dei segreti nel controllo di versione; usa variabili d’ambiente o strumenti di gestione dei segreti
5. L’IdP deve verificare le email: consulta i Requisiti di sicurezza del provider di identità sopra

​

Documentazione correlata

• Riferimento delle variabili d’ambiente