聊天 · 讨论 · 新闻通讯 · 文档 · 试用 Ory Network · 招聘

Ory Oathkeeper 是一个身份与访问代理（IAP）和访问控制决策 API，它根据一组访问规则来授权 HTTP 请求。它遵循 Google 设计的 BeyondCorp 模型，并保护零信任网络中的应用程序。

---

• 什么是 Ory Oathkeeper？
  • 为什么选择 Ory Oathkeeper
• 部署选项
  • 安装
• 快速开始
• 谁在使用 Ory Oathkeeper
• 生态系统
  • Ory Kratos：身份与用户基础设施及管理
  • Ory Hydra：OAuth2 与 OpenID Connect 服务器
  • Ory Oathkeeper：身份与访问代理
  • Ory Keto：访问控制策略服务器
• 文档
• 开发 Ory Oathkeeper
• 安全
  • 披露漏洞
• 遥测

什么是 Ory Oathkeeper？

Ory Oathkeeper 是一个身份与访问代理（IAP）和访问控制决策 API。它遵循云架构最佳实践，并专注于：

• 认证和授权 HTTP 请求
• 充当反向代理或决策 API
• 使用身份信息修改请求
• 与现有 API 网关和代理集成
• 支持多种认证和授权策略
• 在零信任网络架构中工作

我们建议从 Ory Oathkeeper 介绍文档 入手，以了解更多关于其架构、功能集以及与其他系统的对比。

为什么选择 Ory Oathkeeper

Ory Oathkeeper 的设计目标是：

• 将认证和授权与应用代码解耦
• 作为 API 网关插件或独立代理运行
• 为不同端点提供灵活的访问规则
• 与 Ambassador、Envoy、AWS API Gateway、Nginx 等集成
• 提供代理和 sidecar 两种部署模式
• 在云原生环境中轻松扩展

Oathkeeper 可与以下项目协同工作：

• 通过认证服务与 Ambassador 集成
• 通过外部授权 HTTP 过滤器与 Envoy 集成
• 通过自定义授权器与 AWS API Gateway 集成
• 通过基于子请求结果的认证与 Nginx 集成

部署选项

你可以通过两种主要方式运行 Ory Oathkeeper：

• 作为 Ory Network 上的托管服务
• 作为由你自行控制的自托管服务，可选择使用或不使用 Ory 企业许可证

安装

你可以自行运行 Ory Oathkeeper，以完全掌控基础设施、部署和定制化。

安装指南 介绍了如何：

• 在 Linux、macOS、Windows 和 Docker 上安装 Oathkeeper
• 配置访问规则和认证策略
• 部署到 Kubernetes 及其他编排系统

本指南使用开源发行版，让你无需许可证即可上手。它非常适合希望进行实验、原型开发，或运行无需 SLA 的非关键工作负载的个人、研究人员、黑客和公司。你将获得完整的核心引擎，并且可以自由地检视、扩展和从源代码构建。

如果你将 Oathkeeper 作为业务关键型系统的一部分运行，则应使用商业协议来降低运营和安全风险。Ory 企业许可证（OEL） 叠加在自托管的 Oathkeeper 之上，并提供：

• 开源版本中不提供的附加企业功能
• 定期安全发布（包括 CVE 补丁），并附带服务水平协议
• 支持高级扩展、多租户和复杂部署
• 提供包含 SLA 的高级支持选项、直接联系工程师以及上手帮助
• 访问包含频繁且经过审查的最新企业构建的私有 Docker 注册表

要获得有保障的 CVE 修复、最新的企业构建、高级功能以及生产环境支持，你需要有效的 Ory 企业许可证 以及对 Ory 企业 Docker 注册表的访问权限。如需了解更多信息，请联系 Ory 团队。

快速开始

前往 Ory 开发者文档，了解如何在 Linux、macOS、Windows 和 Docker 上安装 Ory Oathkeeper，以及如何从源代码构建 Ory Oathkeeper。

谁在使用 Ory Oathkeeper

Ory 社区站在个人、公司和维护者的肩膀上。Ory 团队感谢所有参与者——从提交错误报告和功能请求，到贡献补丁和文档。Ory 社区拥有超过 50,000 名成员，并且仍在不断壮大。Ory 技术栈每天保护着数千家公司超过 7,000,000,000 次的 API 请求。没有你们每一个人，这一切都不可能实现！

以下列表代表了那些一路陪伴我们，并为我们的生态系统做出杰出贡献的公司。如果你认为你的公司值得在这里占有一席之地，请立即联系 [email protected]！

感谢所有个人贡献者

生态系统

在架构设计方面，我们基于几条指导原则来构建 Ory：

• 最小化依赖
• 随处可运行
• 轻松扩展
• 最大限度减少人为错误和网络错误的可能

Ory 的架构专为在容器编排系统上最佳运行而设计，例如 Kubernetes、CloudFoundry、OpenShift 以及类似项目。二进制文件体积小（5-15MB），适用于所有主流处理器类型（ARM、AMD64、i386）和操作系统（FreeBSD、Linux、macOS、Windows），且无需系统依赖（Java、Node、Ruby、libxml 等）。

Ory Kratos：身份与用户基础设施及管理

Ory Kratos 是一个 API 优先的身份与用户管理系统，按照云架构最佳实践构建。它实现了几乎所有软件应用都需要处理的核心用例：自助登录与注册、多因素认证（MFA/2FA）、账户恢复与验证、个人资料与账户管理。

Ory Hydra：OAuth2 与 OpenID Connect 服务器

Ory Hydra 是一个经过 OpenID 认证™ 的 OAuth2 与 OpenID Connect 提供方，只需编写一个极小的“桥接”应用程序即可轻松连接到任何现有身份系统。它让您对用户界面和用户体验流程拥有绝对控制权。

Ory Oathkeeper：身份与访问代理

Ory Oathkeeper 是一个 BeyondCorp/零信任身份与访问代理（IAP），为您的 Web 服务提供可配置的认证、授权和请求修改规则：认证 JWT、访问令牌、API 密钥、mTLS；检查包含的主题是否被允许执行该请求；将结果内容编码到自定义头（X-User-ID）、JSON Web 令牌等中！

Ory Keto：访问控制策略即服务器

Ory Keto 是一个策略决策点。它使用一组访问控制策略（类似于 AWS IAM 策略）来确定某个主题（用户、应用程序、服务、汽车等）是否有权对资源执行特定操作。

文档

完整的 Oathkeeper 文档可在 www.ory.com/docs/oathkeeper 获取，包括：

• 安装指南
• 配置参考
• HTTP API 文档
• 访问规则配置

关于升级和变更日志，请查看 UPGRADE.md 和 CHANGELOG.md。

开发 Ory Oathkeeper

有关以下信息，请参阅 DEVELOP.md：

• 贡献指南
• 前置条件
• 从源码安装
• 运行测试
• 构建 Docker 镜像

安全

披露漏洞

如果您认为自己发现了安全漏洞，请勿在论坛、聊天或 GitHub 上公开发布。有关负责任披露的所有信息，请参阅我们的 security.txt。

遥测

我们的服务会收集经过汇总的匿名数据，您可以选择关闭。点击此处了解更多信息。