Conectar Tailscale con OpenID Connect

Conecta FoxIDs como proveedor de identidad externo para Tailscale con OpenID Connect (OIDC) 1.0.

Guía de Tailscale Set up SSO with a custom OIDC provider. Tailscale requiere prueba de propiedad del dominio mediante descubrimiento WebFinger cuando usas un proveedor OIDC personalizado. Configura una respuesta WebFinger que apunte a la aplicación FoxIDs que creas para Tailscale.

Configurar FoxIDs

1 - Comienza creando una aplicación OpenID Connect en FoxIDs Control Client

1. Selecciona la pestaña Applications
2. Haz clic en New application
3. Haz clic en Web application (OpenID Connect) para crear una aplicación cliente OIDC
4. Introduce el Name, por ejemplo Tailscale
5. Establece Redirect URI en https://login.tailscale.com/a/oauth_response
6. En el panel de la derecha etiquetado The application will have the following information
   • Copia el Client ID y el Client Secret para usarlos más adelante en el registro de Tailscale
7. Haz clic en Create
8. Haz clic en Change application para abrir la aplicación en modo edición
9. Haz clic en Show advanced
10. Activa Use matching issuer and authority with application specific issuer
11. Haz clic en Update
12. Ve al inicio de la aplicación, encuentra la sección Application information y haz clic en Show more
    • Copia la Authority, que es la URL de emisor de FoxIDs para Tailscale

Configurar WebFinger para tu dominio

2 - Luego configura un endpoint WebFinger en tu dominio

Para permitir que Tailscale descubra tu emisor de FoxIDs, aloja un endpoint WebFinger en https://<your-domain>/.well-known/webfinger. La respuesta debe apuntar a la URL del emisor de FoxIDs. Ejemplo JSON para la cuenta administradora admin@contoso.com:

{
  "subject": "acct:admin@contoso.com",
  "links": [
    {
      "rel": "http://openid.net/specs/connect/1.0/issuer",
      "href": "https://foxids.com/test-corp/-/yuj52w6n(*)/"
    }
  ]
}

Asegúrate de que el dominio en la dirección de correo electrónico coincida con:

• el dominio donde se hospeda el endpoint WebFinger, y
• el dominio que usarás con Tailscale.

La cuenta administradora que configura OIDC para Tailscale se convierte en la propietaria del tailnet. Cuando usuarios adicionales de tu dominio inician sesión en Tailscale, pueden introducir su dirección de correo electrónico y serán redirigidos para autenticarse con FoxIDs.

Configurar Tailscale

3 - Inicia la configuración de OIDC personalizado en Tailscale

1. Abre la consola de administración de Tailscale y ve a Sign up with OIDC
2. Introduce una dirección de correo electrónico que use el dominio servido por tu endpoint WebFinger
3. Haz clic en Get OIDC Issuer - Tailscale resolverá tu respuesta WebFinger y mostrará el emisor de FoxIDs
4. Continúa al paso de ingreso de credenciales

4 - Registra el cliente de FoxIDs en Tailscale

1. Introduce el Client ID y el Client Secret de FoxIDs
2. Confirma la configuración para completar el registro
3. Autentícate a través de FoxIDs para verificar el flujo de inicio de sesión y crear tu tailnet

Probablemente necesites crear tu usuario administrador con el correo electrónico en el entorno FoxIDs para iniciar sesión (dependiendo de tu configuración de FoxIDs)