可落地的 RAGFlow v0.26.x + Keycloak + AD（LDAP）企业级 SSO 标准架构部署方案

下面给你一套可落地的 RAGFlow v0.26.x + Keycloak + AD（LDAP）企业级 SSO 标准架构部署方案。这套是按“生产可用”设计的，不是 demo。
我会直接按你当前环境（Docker + 同机 Keycloak + AD 已同步）给出完整结构。
🧱 一、目标架构（企业级标准）
                ┌──────────────┐
                │   Browser    │
                └──────┬───────┘
                       │
                       ▼
            ┌────────────────────┐
            │   RAGFlow Web UI   │
            └────────┬───────────┘
                     │
                     ▼
        ┌──────────────────────────┐
        │   RAGFlow API Gateway    │  ← ★核心（你现在缺的）
        │   /api /auth /oauth      │
        └───────┬───────────┬──────┘
                │           │
                ▼           ▼
        Worker/CPU      Keycloak (OIDC)
                          │
                          ▼
                        AD/LDAP
🧨 二、你当前问题总结（必须先修）
你现在只有：
ragflow-cpu（worker/adminserver）
缺少：
❌ ragflow-api（SSO入口）
❌ ragflow-web（UI正确版本）
👉 所以你所有 OAUTH2 配置都不会生效
🧩 三、完整 docker-compose（企业版）
下面是可用标准结构（重点）
📦 1. 基础服务
version: "3.9"
services:
  mysql:
    image: mysql:8.0
    container_name: ragflow-mysql
    environment:
      MYSQL_ROOT_PASSWORD: ragflow
      MYSQL_DATABASE: ragflow
    volumes:
      - ./data/mysql:/var/lib/mysql
  redis:
    image: redis:7
    container_name: ragflow-redis
  elasticsearch:
    image: elasticsearch:8.11.3
    container_name: ragflow-es
    environment:
      - discovery.type=single-node
      - xpack.security.enabled=false
    volumes:
      - ./data/es:/usr/share/elasticsearch/data
  minio:
    image: minio/minio
    container_name: ragflow-minio
    command: server /data --console-address ":9001"
    environment:
      MINIO_ROOT_USER: minio
      MINIO_ROOT_PASSWORD: minio123456
    ports:
      - "9000:9000"
      - "9001:9001"
🚀 2. RAGFlow API（关键）
  ragflow-api:
    image: swr.cn-north-4.myhuaweicloud.com/infiniflow/ragflow:v0.26.1
    container_name: ragflow-api
    command: ["./entrypoint.sh", "--api-server"]
    depends_on:
      - mysql
      - redis
      - elasticsearch
    environment:
      - DB_HOST=mysql
      - REDIS_HOST=redis
      - ES_HOST=elasticsearch
      - MINIO_HOST=minio
🖥️ 3. RAGFlow Web UI
  ragflow-web:
    image: swr.cn-north-4.myhuaweicloud.com/infiniflow/ragflow-web:v0.26.1
    container_name: ragflow-web
    ports:
      - "80:80"
    depends_on:
      - ragflow-api
⚙️ 4. Worker（你现在这个）
  ragflow-worker:
    image: swr.cn-north-4.myhuaweicloud.com/infiniflow/ragflow:v0.26.1
    container_name: ragflow-worker
    command: ["./entrypoint.sh", "--worker"]
    depends_on:
      - ragflow-api
🔐 四、Keycloak 企业级配置（重点）
1️⃣ Client 配置
Client ID：
ragflow
Settings：
Client type: OpenID Connect
Access type: confidential
Standard flow: ON
Direct access: OFF
2️⃣ Redirect URI（必须）
http://192.168.4.16/oauth/callback
http://192.168.4.16/*
3️⃣ Mapper（关键）
必须添加：
Name
Mapper
username
preferred_username
email
email
groups
group membership
4️⃣ Scope
必须：
openid email profile
⚙️ 五、RAGFlow API SSO配置（核心）
在 ragflow-api：
environment:
  - OAUTH2_ENABLE=true
  - OAUTH2_TYPE=oidc
  - OAUTH2_DISPLAY_NAME=AD域登录
  - OAUTH2_CLIENT_ID=ragflow
  - OAUTH2_CLIENT_SECRET=xxxx
  - OAUTH2_METADATA_URL=http://192.168.4.16:8081/realms/shuncom/.well-known/openid-configuration
  - OAUTH2_REDIRECT_URI=http://192.168.4.16/oauth/callback
  - OAUTH2_SCOPES=openid email profile
  # ⭐关键
  - OAUTH2_USER_ID_CLAIM=preferred_username
  # 自动建用户
  - OAUTH2_AUTO_CREATE_USER=true
  - REGISTER_ENABLED=1
🧠 六、关键修复点（你之前全部踩坑）
❌ 错误1：用 worker 容器做 SSO
✔ 正确：SSO 在 API，不在 worker
❌ 错误2：email 作为 user_id
✔ 正确：
preferred_username
❌ 错误3：缺 API gateway
✔ 必须有：
/ api / auth / oauth endpoints
🌐 七、验证是否成功
1️⃣ API是否正常
curl http://192.168.4.16/api/health
2️⃣ OIDC provider
curl http://192.168.4.16/api/auth/providers
3️⃣ Keycloak redirect
访问：
http://192.168.4.16
应该看到：
本地登录
⭐ AD域账号登录按钮
🔥 八、企业级增强（推荐）
1️⃣ 自动角色映射（RBAC）
Keycloak groups → RAGFlow roles：
AD Group → Keycloak Group → RAGFlow Role
2️⃣ 自动部门隔离
group = IT / Finance / Ops
3️⃣ 审计日志
开启：
login logs
token logs
API logs
🧨 九、你当前必须做的事（非常重要）
你现在不要再调：
❌ OAUTH2参数
❌ Keycloak
❌ AD
👉 先做：
🚨 补齐 RAGFlow API 层
否则所有 SSO 都是无效的
📌 十、如果你要我帮你下一步升级
我可以继续帮你做三件更高级的：
🔐 1. AD → Keycloak 自动同步（含OU映射）
🔐 2. Keycloak → RAGFlow RBAC自动绑定
🔐 3. 多租户 + 部门级权限隔离
🔐 4. 一键 docker-compose 企业版（可直接生产）
只要你说一句：
“升级企业级SSO+RBAC”
我可以给你一套可以直接上线生产的版本（含全部yaml + keycloak导入文件）。