6.3. Création d’un fournisseur d’authentification externe

Procédure

• Afin d’utiliser l’interface de commande interactive, exécutez les commandes suivantes:

  $ rosa create external-auth-provider -c <cluster_name>

  I: Enabling interactive mode
  ? Name: 

  1

  
  ? Issuer audiences: 

  2

  
  ? The serving url of the token issuer: 

  3

  
  ? CA file path (optional): 

  4

  
  ? Claim mapping username: 

  5

  
  ? Claim mapping groups: 

  6

  
  ? Claim validation rule (optional): 

  7

  
  ? Console client id (optional): 

  8

  1

  Le nom de votre fournisseur d’authentification externe. Ce nom devrait être un cas inférieur avec des chiffres et des tirets.

  2

  Les identifiants d’audience pour lesquels ce fournisseur d’authentification émet des jetons.

  3

  L’URL de l’émetteur qui sert le jeton.

  4

  Facultatif: Le fichier de certificat à utiliser lors de la présentation de demandes.

  5

  Le nom de la revendication qui est utilisé pour construire les noms d’utilisateur pour l’identité du cluster, par exemple en utilisant le courrier électronique.

  6

  La méthode avec laquelle transformer le jeton ID en une identité de cluster, comme l’utilisation de groupes.

  7

  Facultatif : Les règles qui aident à valider les demandes de jetons qui authentifient vos utilisateurs. Ce champ doit être formaté comme :<required_value>.

  8

  Facultatif: L’identification de l’application ou du client que votre inscription d’application utilise pour la console.

• Il est possible d’inclure les identifiants requis pour créer votre fournisseur d’authentification externe avec la commande suivante:

  rosa create external-auth-provider --cluster=<cluster_id> \
      --name=<provider_name> --issuer-url=<issuing_url> \
      --issuer-audiences=<audience_id> \
      --claim-mapping-username-claim=email \
      --claim-mapping-groups-claim=groups \
      --console-client-id=<client_id_for_app_registration> \
      --console-client-secret=<client_secret>

  Exemple de sortie

  I: Successfully created an external authentication provider for cluster '<cluster_id>'

La vérification

• Afin de vérifier votre fournisseur d’authentification externe, exécutez l’une des options suivantes:

  • Énumérez la configuration d’authentification externe sur un cluster spécifié avec la commande suivante:

    $ rosa list external-auth-provider -c <cluster_name>

    Exemple de sortie

    L’exemple suivant montre un fournisseur d’authentification externe Microsoft Entra ID configuré:

    NAME        ISSUER URL
    m-entra-id  https://login.microsoftonline.com/<group_id>/v2.0

  • Afficher la configuration d’authentification externe sur un cluster spécifié à l’aide de la commande suivante:

    $ rosa describe external-auth-provider \
        -c <cluster_name> --name <name_of_external_authentication>

    Exemple de sortie

    ID:                          ms-entra-id
    Cluster ID:                  <cluster_id>
    Issuer audiences:
                                 - <audience_id>
    Issuer Url:                  https://login.microsoftonline.com/<group_id>/v2.0
    Claim mappings group:        groups
    Claim mappings username:     email