通过oidc鉴权登录后，只有sso登录的页面，那管理员如何登录？是不是每次只能通过终端后台切换oidc/nacos鉴权模式来登录？After logging in via OIDC authentication, only the SSO login page is available; so, how do administrators log in? Does this mean they have to switch the authentication mode (between OIDC and Nacos) via the terminal backend every time they need to log in?

[ffengyun0915-ai]

在使用nacos3.2.3，用docker部署，使用authentik的oidc鉴权登录时。登陆页面只有sso登录的案件，管理员无法登录。目前尝试只能通过终端后台切换鉴权模式，暂时恢复账号/密码的登陆方式来登录管理员，但是这样比较麻烦？有没有什么解决方案？
When using Nacos 3.2.3 deployed via Docker with Authentik OIDC authentication, the login page only displays the SSO login option, preventing administrators from logging in. Currently, the only workaround is to switch the authentication mode via the terminal backend to temporarily restore username/password login for administrators, but this is cumbersome. Is there a better solution?

[yhay81]

不需要每次切换认证模式；正确做法是把 Authentik 中的管理员用户/组映射为 Nacos 的 OIDC 管理员角色。

OIDC 在 Nacos 中是本地用户名/密码认证的替代模式，不是并行的第二种登录方式。启用 oidc 后，登录页只显示 SSO、并隐藏本地用户/角色/密码管理，这是当前实现的预期行为。因此 nacos 本地管理员不能在同一登录页作为“备用账号”登录。

例如，让 Authentik 的 ID Token 包含：

{
  "groups": ["nacos-admin"]
}

然后在 Nacos 配置中显式指定：

nacos.plugin.auth.oidc.roles-claim=groups
nacos.plugin.auth.oidc.admin-role=nacos-admin

如果你的 Authentik Property/Scope Mapping 输出的是 roles claim，则使用：

nacos.plugin.auth.oidc.roles-claim=roles
nacos.plugin.auth.oidc.admin-role=nacos-admin

roles 和 nacos-admin 本身也是当前默认值。把这些属性加入容器挂载的 application.properties，然后重启 Nacos；OIDC 插件配置目前都需要重启才生效。登录后，只要 ID Token 中对应的 claim 包含配置的 admin role，该用户就会被映射为全局管理员。

建议在 Authentik 中保留一个受保护的 emergency/break-glass 管理员用户。当前内置 OIDC 插件没有“SSO + 本地密码管理员同时登录”的混合模式；如果 IdP 不可用，不能依赖同一 Nacos 登录页里的本地账号作为回退。

实现规格明确说明了这一点：OIDC 模式不以 Nacos 本地用户、角色和权限为事实来源，admin-role（默认 nacos-admin）映射为全局管理员：
https://github.com/alibaba/nacos/blob/cecde03072bf703937cf83ab40b8d368ac3af606/specs/en/auth/oidc-auth-plugin-spec.md#server-spi

---

You do not need to switch auth modes each time. OIDC is an alternative to the local Nacos username/password plugin, not a mixed-login mode. Map an Authentik user/group into the ID-token claim selected by nacos.plugin.auth.oidc.roles-claim, and make sure it contains the value configured by nacos.plugin.auth.oidc.admin-role (default: nacos-admin). That SSO user then becomes the Nacos global administrator.

[ffengyun0915-ai]

按所述正常配置后，不管怎样登录，绑定映射后，被绑定的账号均只能登录普通用户身份，无法跳转到管理员页面

[ffengyun0915-ai]

以下是我配置文件application.properties中的内容，四个空掉的部分已遮住
nacos.server.main.port=8848
management.metrics.export.elastic.enabled=false
management.metrics.export.influx.enabled=false
spring.servlet.multipart.max-file-size=10MB
spring.servlet.multipart.max-request-size=10MB
server.servlet.encoding.enabled=true
server.servlet.encoding.force=true
server.servlet.encoding.charset=UTF-8

nacos.config.push.maxRetryTime=50
nacos.naming.empty-service.auto-clean=true
nacos.naming.empty-service.clean.initial-delay-ms=50000
nacos.naming.empty-service.clean.period-time-ms=30000

nacos.ai.registry.port=9080
nacos.server.contextPath=/nacos
server.tomcat.accesslog.enabled=true
server.tomcat.accesslog.max-days=30
server.tomcat.accesslog.pattern=%h %l %u %t "%r" %s %b %D %{User-Agent}i %{Request-Source}i
server.tomcat.basedir=file:.
server.error.include-message=ALWAYS
nacos.console.port=8080
nacos.console.contextPath=
nacos.console.remote.server.context-path=/nacos
nacos.security.ignore.urls=/,/error,//*.css,//.js,/**/.html,//*.map,//.svg,/**/.png,/**/*.ico,/console-ui/pu>

nacos.core.auth.system.type=oidc
nacos.core.auth.enabled=true
nacos.core.auth.admin.enabled=true
nacos.core.auth.console.enabled=true
nacos.core.auth.caching.enabled=true
nacos.core.auth.server.identity.key=serverIdentity
nacos.core.auth.server.identity.value=security
nacos.core.auth.plugin.nacos.token.cache.enable=false
nacos.core.auth.plugin.nacos.token.expire.seconds=18000
nacos.core.auth.plugin.nacos.token.secret.key=${NACOS_AUTH_TOKEN}

nacos.core.auth.plugin.oidc.issuer-uri=
nacos.core.auth.plugin.oidc.redirect-uri=
nacos.core.auth.plugin.oidc.client-id=
nacos.core.auth.plugin.oidc.client-secret=

nacos.core.auth.plugin.oidc.scope=openid profile email groups

nacos.core.auth.plugin.oidc.token-validation-method=jwt
nacos.core.auth.plugin.oidc.username-claim=preferred_username
nacos.plugin.auth.oidc.roles-claim=groups
nacos.plugin.auth.oidc.admin-role=nacos-admins

nacos.core.auth.plugin.oidc.auto-create-user=true
nacos.core.auth.plugin.oidc.strict-nonce-validation=false
nacos.core.auth.plugin.oidc.strict-audience-validation=false
nacos.core.auth.plugin.oidc.issuer-validation-enabled=false
nacos.plugin.visibility.enabled=true
nacos.plugin.visibility.type=nacos
nacos.istio.mcp.server.enabled=false

以下是我在authentik中进行的操作：

1. 检查Applications：进入Applications——Applications——nacos-test
   确认：Name：nacos-test
   绑定：Provider：nacos-test
2. 检查Provider配置：进入Applications——Providers——nacos-test
   确认：Provider类型：OAuth2/OpenID Provider
3. 创建Group：进入Directory——Groups——Create
   创建：Name：nacos-admins
4. 给用户加入Group：用户fengyun
   进入Directory——Users——fengyun
   找到Groups
   添加nacos-admins
5. 创建groups claim映射
   进入Customization——Property Mappings——Create
   选择Scope Mapping
   名称： groups
   Scope name：groups
   Expression填写：
   return {
   "groups": [
   group.name
   for group in request.user.ak_groups.all()
   ]
   }

[ffengyun0915-ai]

能否帮忙看一下是哪里出问题

[ffengyun0915-ai]

或者这个问题的另一种表述是，通过authentik的oidc鉴权登入后，怎样让登入的新用户无法拥有管理员权限？目前使用的情况是，所有sso登入的用户都可以对空间、skill等权限进行删除这样的管理员权限操作。