39 lines
2.1 KiB
Markdown
39 lines
2.1 KiB
Markdown
# TP41 T5 — IdP-Callback-URLs reparieren (der Daily-OTP-Fix)
|
|
|
|
**Problem:** Nach dem Team-Domain-Rename `bf4` → `emsenhuber` kennen die OAuth-Apps bei GitHub/Google
|
|
die neue Callback-URL nicht. Login schlägt mit „redirect_uri is not associated with this application"
|
|
fehl → Cloudflare Access fällt auf **E-Mail-OTP** zurück (das tägliche Nervthema).
|
|
|
|
**Die EINE URL**, die bei beiden Providern hinterlegt sein muss:
|
|
`https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback`
|
|
|
|
## GitHub (Client ID `Ov23li2h96hAkGRPJXYV`)
|
|
1. github.com → rechts oben aufs Profilbild → **Settings**.
|
|
2. Linke Spalte ganz unten **Developer settings** → **OAuth Apps**.
|
|
3. Die App mit Client ID `Ov23li2h96hAkGRPJXYV` öffnen.
|
|
4. **Authorization callback URL** = `https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback`.
|
|
5. (Optional **Homepage URL** = `https://emsenhuber.cloudflareaccess.com`.)
|
|
6. **Update application** klicken.
|
|
|
|
## Google (Client ID `276709275903-b3q55lsj203v4strbhh5mub76cib867e.apps.googleusercontent.com`)
|
|
1. console.cloud.google.com → oben das richtige **Projekt** wählen.
|
|
2. **APIs & Services** → **Credentials**.
|
|
3. Unter **OAuth 2.0 Client IDs** den Client `276709275903-…apps.googleusercontent.com`
|
|
(Typ *Web application*) öffnen.
|
|
4. **Authorized redirect URIs** → **+ ADD URI** →
|
|
`https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback`.
|
|
5. **Authorized JavaScript origins** → **+ ADD URI** → `https://emsenhuber.cloudflareaccess.com`.
|
|
6. **SAVE**. (Google-Propagation dauert teils ein paar Minuten.)
|
|
|
|
## Testen
|
|
1. Neues **privates** Browserfenster → eine Access-geschützte Seite öffnen.
|
|
2. Beim CF-Login **GitHub** bzw. **Google** wählen → muss ohne „redirect_uri"-Fehler durchlaufen,
|
|
**keine** OTP-Mail mehr.
|
|
3. Gegenprobe (optional, kann Claude read-only): CF-Audit
|
|
`GET /accounts/<acc>/access/logs/access_requests` → `identity_provider` = `github`/`google`
|
|
statt `onetimepin`.
|
|
|
|
## Hinweis
|
|
Die Team-Domain heißt `emsenhuber.cloudflareaccess.com` (das alte Org-Label `bf4…` in CF nicht
|
|
anfassen). Session gilt 720 h (30 Tage) — nach dem Fix sollte der Login also lange halten.
|