3.6. Personnaliser l'URL interne du serveur OAuth
Vous pouvez personnaliser l'URL du serveur OAuth interne en définissant le nom d'hôte personnalisé et le certificat TLS dans le champ spec.componentRoutes de la configuration du cluster Ingress.
Si vous mettez à jour l'URL du serveur OAuth interne, vous risquez de perdre la confiance des composants du cluster qui ont besoin de communiquer avec le serveur OpenShift OAuth pour récupérer les jetons d'accès OAuth. Les composants qui ont besoin de faire confiance au serveur OAuth devront inclure le bundle CA approprié lors de l'appel des endpoints OAuth. Par exemple :
$ oc login -u <username> -p <password> --certificate-authority=<path_to_ca.crt> 1- 1
- Pour les certificats auto-signés, le fichier
ca.crtdoit contenir le certificat personnalisé de l'autorité de certification, sinon la connexion n'aboutira pas.
L'opérateur d'authentification de cluster publie le certificat de service du serveur OAuth dans la carte de configuration oauth-serving-cert dans l'espace de noms openshift-config-managed. Vous pouvez trouver le certificat dans la clé data.ca-bundle.crt de la carte de configuration.
Conditions préalables
- Vous vous êtes connecté au cluster en tant qu'utilisateur disposant de privilèges administratifs.
Vous avez créé un secret dans l'espace de noms
openshift-configcontenant le certificat et la clé TLS. Cela est nécessaire si le domaine du suffixe du nom d'hôte personnalisé ne correspond pas au suffixe du domaine du cluster. Le secret est facultatif si le suffixe correspond.AstuceVous pouvez créer un secret TLS à l'aide de la commande
oc create secret tls.
Procédure
Modifiez la configuration du cluster
Ingress:$ oc edit ingress.config.openshift.io cluster
Définir le nom d'hôte personnalisé et, éventuellement, le certificat et la clé de service :
apiVersion: config.openshift.io/v1 kind: Ingress metadata: name: cluster spec: componentRoutes: - name: oauth-openshift namespace: openshift-authentication hostname: <custom_hostname> 1 servingCertKeyPairSecret: name: <secret_name> 2- 1
- Le nom d'hôte personnalisé.
- 2
- Référence à un secret dans l'espace de noms
openshift-configqui contient un certificat TLS (tls.crt) et une clé (tls.key). Cette référence est obligatoire si le domaine du suffixe du nom d'hôte personnalisé ne correspond pas au suffixe du domaine du cluster. Le secret est facultatif si le suffixe correspond.
- Enregistrez le fichier pour appliquer les modifications.
