3.5. Configuration du délai d'inactivité du jeton pour le serveur OAuth interne

Procédure

1. Mettre à jour la configuration de OAuth pour définir un délai d'inactivité des jetons.

   1. Modifiez l'objet OAuth:

      $ oc edit oauth cluster

      Ajoutez le champ spec.tokenConfig.accessTokenInactivityTimeout et définissez la valeur de votre délai d'attente :

      apiVersion: config.openshift.io/v1
      kind: OAuth
      metadata:
      ...
      spec:
        tokenConfig:
          accessTokenInactivityTimeout: 400s 1

      1

      Définissez une valeur avec les unités appropriées, par exemple 400s pour 400 secondes, ou 30m pour 30 minutes. La valeur minimale autorisée pour le délai d'attente est 300s.

   2. Enregistrez le fichier pour appliquer les modifications.

2. Vérifier que les pods du serveur OAuth ont redémarré :

   $ oc get clusteroperators authentication

   Ne passez pas à l'étape suivante tant que PROGRESSING n'est pas répertorié comme False, comme le montre le résultat suivant :

   Exemple de sortie

   NAME             VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE
   authentication   4.12.0    True        False         False      145m

3. Vérifiez qu'une nouvelle révision des pods du serveur Kubernetes API a été déployée. Cela prendra plusieurs minutes.

   $ oc get clusteroperators kube-apiserver

   Ne passez pas à l'étape suivante tant que PROGRESSING n'est pas répertorié comme False, comme le montre le résultat suivant :

   Exemple de sortie

   NAME             VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE
   kube-apiserver   4.12.0     True        False         False      145m

   Si PROGRESSING affiche True, attendez quelques minutes et réessayez.

Vérification

1. Connectez-vous au cluster avec l'identité de votre IDP.
2. Exécuter une commande et vérifier qu'elle a abouti.
3. Attendre plus longtemps que le délai configuré sans utiliser l'identité. Dans l'exemple de cette procédure, il faut attendre plus de 400 secondes.

4. Essayer d'exécuter une commande à partir de la session de la même identité.

   Cette commande doit échouer car le jeton doit avoir expiré en raison d'une inactivité plus longue que le délai d'attente configuré.

   Exemple de sortie

   error: You must be logged in to the server (Unauthorized)