Создать OIDC-приложение в Yandex Identity Hub для интеграции с Open WebUI

Open WebUI — это бесплатная платформа с открытым исходным кодом для удобной работы с большими языковыми моделями, которую можно развернуть в собственной инфраструктуре. Open WebUI поддерживает аутентификацию OpenID Connect (OIDC) для обеспечения безопасного единого входа пользователей организации.

Чтобы пользователи вашей организации могли аутентифицироваться в Open WebUI с помощью технологии единого входа по стандарту OpenID Connect, создайте OIDC-приложение в Yandex Identity Hub и настройте его на стороне Yandex Identity Hub и на стороне Open WebUI.

Управлять OIDC-приложениями может пользователь, которому назначена роль organization-manager.oauthApplications.admin или выше.

Чтобы предоставить пользователям вашей организации доступ в Open WebUI:

1. Подготовьте облако к работе.
2. Создайте и настройте OIDC-приложение.
3. Разверните экземпляр Open WebUI.
4. Настройте интеграцию на стороне Open WebUI.
5. Добавьте пользователя.
6. Убедитесь в корректной работе приложения.

Если созданные ресурсы вам больше не нужны, удалите их.

Перед началом работыПеред началом работы

Зарегистрируйтесь в Yandex Cloud и создайте платежный аккаунт:

1. Перейдите в консоль управления, затем войдите в Yandex Cloud или зарегистрируйтесь.
2. На странице Yandex Cloud Billing убедитесь, что у вас подключен платежный аккаунт, и он находится в статусе ACTIVE или TRIAL_ACTIVE. Если платежного аккаунта нет, создайте его и привяжите к нему облако.

Если у вас есть активный платежный аккаунт, вы можете создать или выбрать каталог, в котором будет работать ваша инфраструктура, на странице облака.

Подробнее об облаках и каталогах.

Подготовьте окружениеПодготовьте окружение

1. Создайте облачную сеть с подсетью в зоне доступности, в которой вы будете развертывать экземпляр Open WebUI.

2. Зарезервируйте статический публичный IP-адрес в зоне доступности, в которой вы будете развертывать экземпляр Open WebUI.

3. В вашей облачной сети создайте группу безопасности, разрешающую следующий трафик:

   Направление трафика	Диапазон портов	Протокол	Источник / Назначение	IPv4 CIDR	Описание
   Входящий	80	TCP	Диапазон адресов	0.0.0.0/0	http
   Входящий	8080	TCP	Диапазон адресов	0.0.0.0/0	8080
   Входящий	443	TCP	Диапазон адресов	0.0.0.0/0	https
   Входящий	22	TCP	Диапазон адресов	0.0.0.0/0	ssh
   Исходящий	Весь	Любой	Диапазон адресов	0.0.0.0/0	any

4. Создайте виртуальную машину из публичного образа Ubuntu 24.04 LTS.

   Примечание

   При создании виртуальной машины выберите зону доступности, в которой создана ваша подсеть, используйте зарезервированный ранее публичный IP-адрес и созданную группу безопасности.

   Рекомендуется использовать конфигурацию ВМ с 8 ГБ RAM и более.

Необходимые платные ресурсыНеобходимые платные ресурсы

В стоимость поддержки создаваемой в руководстве инфраструктуры входят:

• плата за постоянно запущенную виртуальную машину (тарифы Yandex Compute Cloud);
• плата за использование статического публичного IP-адреса (тарифы Yandex Virtual Private Cloud).

Создайте приложениеСоздайте приложение

Получите учетные данные приложенияПолучите учетные данные приложения

Настройте Redirect URIНастройте Redirect URI

Разверните экземпляр Open WebUIРазверните экземпляр Open WebUI

В этом руководстве вы развернете экземпляр Open WebUI на виртуальной машине Compute Cloud в Docker-контейнере.

Чтобы развернуть Open WebUI:

1. Подключитесь к созданной ранее виртуальной машине. В зависимости от заданных настроек ВМ вы можете подключиться к ней по SSH или по OS Login.

2. Установите и настройте Docker:

   sudo apt update && sudo apt install docker.io docker-compose
   

3. Добавьте текущего локального пользователя в группу docker и запустите новый shell-процесс с обновленным составом групп пользователя:

   sudo usermod -aG docker $USER
   newgrp docker
   

4. Создайте директорию для проекта Open WebUI:

   mkdir -p ~/projects/open-webui/certs
   cd ~/projects/open-webui/certs
   

5. Создайте самоподписанный TLS-сертификат, который будет использоваться вашим экземпляром Open WebUI:

   Примечание

   TLS-сертификат необходим для организации доступа к Open WebUI по протоколу https. В настройках OIDC-приложения на стороне Yandex Identity Hub значение Redirect URI можно добавить только со схемой https://.

   1. Сгенерируйте закрытый ключ:

      openssl genrsa -out server.key 2048
      

   2. Создайте самоподписанный сертификат со сроком действия 1 год:

      openssl req \
        -new \
        -x509 \
        -key server.key \
        -out server.crt \
        -days 365
      

      В появившейся форме заполните поля. В поле Common Name (e.g. server FQDN or YOUR name) укажите зарезервированный ранее статический публичный IP-адрес, который был присвоен виртуальной машине.

6. Для удобства дальнейшей настройки переименуйте полученные файлы:

   mv server.crt nginx-cert.crt
   mv server.key nginx-cert.key
   

7. Перейдите в директорию проекта Open WebUI и создайте файлы его конфигурации:

   cd ~/projects/open-webui
   touch nginx.conf
   touch docker-compose.yml
   

8. Настройте среду Docker-контейнера для первого запуска Open WebUI:

   Примечание

   Первый запуск выполняется с выключенной опцией аутентификации через SSO и необходим для создания учетной записи администратора проекта.

   1. В текстовом редакторе откройте файл docker-compose.yml:

      nano docker-compose.yml
      

   2. Добавьте в файл docker-compose.yml следующую конфигурацию:

      version: '3.8'
      
      services:
        open-webui:
          image: ghcr.io/open-webui/open-webui:main
          container_name: open-webui
          environment:
            - WEBUI_BASE_URL=http://<IP-адрес_ВМ>
          ports:
            - "8080:8080"
          volumes:
            - open-webui-data:/app/backend/data
          restart: unless-stopped
      
      volumes:
        open-webui-data:
      

      Где WEBUI_BASE_URL — статический публичный IP-адрес вашей виртуальной машины со схемой http://.

9. В директории ~/projects/open-webui выполните команду:

   docker-compose up -d
   

   Дождитесь скачивания и распаковки всех компонентов и зависимостей, а также запуска контейнера:

   Creating network "open-webui_default" with the default driver
   Creating volume "open-webui_open-webui-data" with default driver
   Pulling open-webui (ghcr.io/open-webui/open-webui:main)...
   main: Pulling from open-webui/open-webui
   4f4f********: Pull complete
   a8ac********: Pull complete
   ...
   Digest: sha256:5c0d8f6d58ea276204b927205e43850689799f25420a67079cb988df********
   Status: Downloaded newer image for ghcr.io/open-webui/open-webui:main
   Creating open-webui ... done
   

10. Убедитесь, что контейнер запущен:

    docker ps
    

    Если все настроено правильно, команда должна вывести контейнер open-webui со статусом Up (healthy).

    Примечание

    В зависимости от конфигурации виртуальной машины запуск контейнера может занять несколько минут.

11. Создайте учетную запись администратора Open WebUI:

    1. В браузере откройте адрес вашего экземпляра Open WebUI:

       http://<IP-адрес_ВМ>:8080
       

    2. На открывшейся странице Open WebUI нажмите кнопку Давайте начнем →.

    3. В появившейся форме укажите полное имя, адрес электронной почты (логин) и пароль администратора.

    4. Нажмите кнопку Создать аккаунт Администратора.

    5. Закройте окно браузера.

12. В терминале виртуальной машины остановите контейнер Open WebUI:

    docker-compose down
    

13. Настройте конфигурацию nginx, которая будет запускаться в контейнере:

    1. В текстовом редакторе откройте файл конфигурации nginx.conf:

       nano nginx.conf
       

    2. Добавьте в файл nginx.conf следующую конфигурацию:

       server {
           listen 80;
           server_name <адрес_сервера>;
           return 301 https://$host$request_uri;
       }
       
       server {
           listen 443 ssl;
           server_name <адрес_сервера>;
       
           ssl_certificate     /etc/nginx/ssl/cert.crt;
           ssl_certificate_key /etc/nginx/ssl/key.key;
       
           location / {
               proxy_pass http://open-webui:8080;
               proxy_set_header Host $host;
               proxy_set_header X-Real-IP $remote_addr;
               proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
               proxy_set_header X-Forwarded-Proto $scheme;
               proxy_set_header X-Forwarded-Port $server_port;
       
               proxy_http_version 1.1;
               proxy_set_header Upgrade $http_upgrade;
               proxy_set_header Connection "upgrade";
               proxy_buffering off;
           }
       }
       

       Где server_name (в обеих секциях) — статический публичный IP-адрес вашей виртуальной машины. Если за экземпляром Open WebUI зарезервировано доменное имя, в качестве адреса сервера используйте это доменное имя.

14. Обновите конфигурацию Docker-контейнера:

    1. В текстовом редакторе откройте файл docker-compose.yml:

       nano docker-compose.yml
       

    2. Замените содержимое файла docker-compose.yml на следующую конфигурацию, указав в ней параметры OIDC-приложения Yandex Identity Hub:

       version: '3.8'
       
       services:
         open-webui:
           image: ghcr.io/open-webui/open-webui:main
           container_name: open-webui
           environment:
             - WEBUI_BASE_URL=https://<адрес_сервера>
             - ENABLE_OAUTH_SIGNUP=true
             - ENABLE_LOGIN_FORM=true
             - ENABLE_PERSISTENT_CONFIG=true
             - ENABLE_OAUTH_PERSISTENT_CONFIG=true
             - OPENID_REDIRECT_URI=https://<адрес_сервера>/oauth/oidc/callback
             - OAUTH_CLIENT_ID=<значение_client_ID>
             - OAUTH_CLIENT_SECRET=<значение_client_secret>
             - OPENID_PROVIDER_URL=<значение_OpenID_Configuration>
             - OAUTH_PROVIDER_NAME=Yandex Identity Hub
             - OAUTH_SCOPES=openid email profile
       
           ports:
             - "8080:8080"
           volumes:
             - open-webui-data:/app/backend/data
           networks:
             - webui-net
           restart: unless-stopped
       
         nginx:
           image: nginx:alpine
           container_name: nginx-webui
           volumes:
             - ./certs/nginx-cert.crt:/etc/nginx/ssl/cert.crt:ro
             - ./certs/nginx-cert.key:/etc/nginx/ssl/key.key:ro
             - ./nginx.conf:/etc/nginx/conf.d/default.conf:ro
           ports:
             - "443:443"
             - "80:80"
           depends_on:
             - open-webui
           networks:
             - webui-net
           restart: unless-stopped
       
       volumes:
         open-webui-data:
       
       networks:
         webui-net:
           driver: bridge
       

       Где:

       • WEBUI_BASE_URL — статический публичный IP-адрес вашей виртуальной машины со схемой https://.

         Если за экземпляром Open WebUI зарезервировано доменное имя, в качестве адреса сервера используйте это доменное имя.

       • OPENID_REDIRECT_URI — значение Redirect URI вашего экземпляра Open WebUI. Также содержит статический публичный IP-адрес вашей ВМ или доменное имя, если оно зарезервировано за экземпляром Open WebUI.

       • OAUTH_CLIENT_ID — значение ClientID OIDC-приложения Yandex Identity Hub.

       • OAUTH_CLIENT_SECRET — секрет OIDC-приложения Yandex Identity Hub.

       • OPENID_PROVIDER_URL — значение OpenID Configuration OIDC-приложения Yandex Identity Hub.

15. В директории ~/projects/open-webui вновь запустите конфигурацию:

    docker-compose up -d
    

    Дождитесь скачивания и распаковки всех компонентов и зависимостей, а также запуска контейнеров.

16. Убедитесь, что контейнеры запущены:

    docker ps
    

    Если все настроено правильно, команда должна вывести контейнеры nginx и open-webui со статусом Up/Healthy.

    Примечание

    В зависимости от конфигурации виртуальной машины запуск контейнеров может занять несколько минут.

Настройте интеграцию на стороне Open WebUIНастройте интеграцию на стороне Open WebUI

Донастройте Open WebUI в пользовательском интерфейсе:

1. В окне браузера откройте адрес вашего экземпляра Open WebUI:

   https://<адрес_сервера>
   

2. На странице входа введите логин (адрес электронной почты) и пароль администратора, затем нажмите Войти.

3. В левом нижнем углу нажмите на значок профиля, выберите Настройки и перейдите в раздел Аутентификация.

4. В поле Роль пользователя по умолчанию выберите пользователь.

5. Убедитесь, что опция OAuth / OIDC включена, а также что в следующих полях указаны корректные данные:

   • Provider Name — Yandex Identity Hub.
   • Provider URL — значение OpenID Configuration OIDC-приложения Yandex Identity Hub.
   • Client ID — значение ClientID OIDC-приложения Yandex Identity Hub.
   • Client Secret — секрет OIDC-приложения Yandex Identity Hub.
   • Redirect URI — значение Redirect URI вашего экземпляра Open WebUI.

   При необходимости задайте в этих полях значения, которые ранее были указаны для переменных окружения в файле docker-compose.yml.

6. Задайте значения дополнительных полей:

   • Scopes — openid email profile.
   • Email Claim — email.
   • Username Claim — preferred_username.
   • Sub Claim — sub.

7. Включите опции OAuth Signup и Merge Accounts by Email.

8. Значения остальных параметров оставьте без изменений и нажмите кнопку Сохранить.

Добавьте пользователяДобавьте пользователя

Чтобы пользователи вашей организации могли аутентифицироваться в Open WebUI с помощью OIDC-приложения Yandex Identity Hub, необходимо явно добавить в OIDC-приложение нужных пользователей и/или группы пользователей.

Добавьте пользователя в приложение:

Политики аутентификации — это инструмент Yandex Identity Hub, позволяющий гибко настраивать доступ к приложениям, запрещая или разрешая аутентификацию определенным пользователям в определенных приложениях и/или с определенных IP-адресов. Подробнее читайте в разделе Политики аутентификации в Yandex Identity Hub.

Убедитесь в корректной работе приложенияУбедитесь в корректной работе приложения

Чтобы убедиться в корректной работе OIDC-приложения и интеграции с Open WebUI, выполните аутентификацию в Open WebUI от имени одного из добавленных в приложение пользователей.

Для этого:

1. В браузере перейдите по адресу вашего экземпляра Open WebUI:

   https://<адрес_сервера>
   

2. Если вы были авторизованы в Open WebUI, выйдите из профиля.

3. На странице входа в Open WebUI нажмите Продолжить с Yandex Identity Hub.

4. На странице аутентификации Yandex Cloud укажите email и пароль пользователя Yandex Identity Hub. Пользователь должен быть добавлен в приложение или состоять в группе, добавленной в приложение.

5. Убедитесь, что вы аутентифицировались в Open WebUI.

Как удалить созданные ресурсыКак удалить созданные ресурсы

Чтобы перестать платить за созданные ресурсы:

1. Удалите виртуальную машину.

2. Удалите статический публичный IP-адрес.

3. При необходимости удалите другие ресурсы Virtual Private Cloud:

   1. группу безопасности;
   2. подсеть;
   3. облачную сеть.

Зона доступности — это инфраструктура внутри дата-центра, в котором размещается платформа Yandex Cloud. Подробнее читайте в разделе Зоны доступности.