第3章 Authentication [config.openshift.io/v1]

oauthMetadata

object

oauthMetadata には、外部 OAuth サーバーの OAuth 2.0 認証サーバーメタデータの検出エンドポイントデータが含まれています。この検出ドキュメントは、提供された場所から参照することができます: oc get --raw '/.well-known/oauth-authorization-server'。詳細については、IETF ドラフトを参照してください。 https://tools.ietf.org/html/draft-ietf-oauth-discovery-04#section-2 oauthMetadata.name が空でない場合、この値は status に格納されているどのメタデータ参照よりも優先されます。キー oauthMetadata は、データを見つけるために使用されます。指定され、設定マップまたは予期されるキーが見つからない場合、メタデータは提供されません。指定されたメタデータが有効でない場合、メタデータは提供されません。この設定マップの namespace は openshift-config です。

serviceAccountIssuer

string

serviceAccountIssuer は、バインドされたサービスアカウントトークン発行者の識別子です。デフォルトは https://kubernetes.default.svc です。警告：このフィールドを更新すると、以前の発行者値でバインドされたすべてのトークンがすぐに無効化されません。代わりに、以前のサービスアカウント発行者が発行するトークンは、プラットフォームによって選択された期間引き続き信頼されます（現時点では 24h に設定されています）。この期間は時間の経過とともに変化する可能性があります。これにより、内部コンポーネントは、サービスの中断なしに新しいサービスアカウント発行者を使用できます。

type

string

type は、使用中のクラスター管理のユーザー向け認証モードを識別します。具体的には、ログイン試行に応答するコンポーネントを管理します。デフォルトは IntegratedOAuth です。

webhookTokenAuthenticator

object

webhookTokenAuthenticator は、リモートトークンレビューアーを設定します。これらのリモート認証 Webhook は、tokenreviews.authentication.k8s.ioREST API を介してベアラトークンを検証するために使用できます。これは、外部認証サービスによってプロビジョニングされたベアラトークンを尊重するために必要です。

webhookTokenAuthenticators

array

webhookTokenAuthenticators は非推奨であり、設定しても効果はありません。

webhookTokenAuthenticators[]

object

deprecatedWebhookTokenAuthenticator は、リモートトークンオーセンティケーターに必要な設定オプションを保持します。WebhookTokenAuthenticator と同じですが、KubeConfig フィールドの必須検証がありません。

name

string

name は、参照される設定マップの metadata.name です。

kubeConfig

object

kubeConfig は、リモート Webhook サービスにアクセスする方法を説明する kube 設定ファイルデータを含むシークレットを参照します。参照されるシークレットのネームスペースは openshift-config です。詳細については、https://kubernetes.io/docs/reference/access-authn-authz/authentication/#webhook-token-authentication を参照してください。キー kubeConfig を使用してデータを検索します。シークレットキーまたは期待されるキーが見つからない場合、Webhook は受け入れられません。指定された kube 設定データが無効な場合、Webhook は受け入れられません。

name

string

name は、参照されるシークレットの metadata.name です。

kubeConfig

object

kubeConfig には、リモート Webhook サービスにアクセスする方法を説明する kube 設定ファイルデータが含まれています。詳細については、https://kubernetes.io/docs/reference/access-authn-authz/authentication/#webhook-token-authentication を参照してください。キー kubeConfig を使用してデータを検索します。シークレットキーまたは期待されるキーが見つからない場合、Webhook は受け入れられません。指定された kube 設定データが無効な場合、Webhook は受け入れられません。このシークレットの名前空間は、使用場所によって決まります。

name

string

name は、参照されるシークレットの metadata.name です。

integratedOAuthMetadata

object

IntegratedOAuthMetadata には、クラスター内統合 OAuth サーバーの OAuth 2.0 認証サーバーメタデータの検出エンドポイントデータが含まれています。この検出ドキュメントは、提供された場所から表示できます。oc get --raw'/.well-known/oauth-authorization-server' 詳細については、IETF ドラフトを参照してください: https://tools.ietf.org/html/draft-ietf-oauth-discovery-04#section-2 これには、クラスターの状態に基づく観測値が含まれます。spec.oauthMetadata に明示的に設定された値は、このフィールドよりも優先されます。認証 spec.type が IntegratedOAuth に設定されていない場合、このフィールドは意味がありません。キー oauthMetadata は、データを見つけるために使用されます。設定マップまたは予期されるキーが見つからない場合、メタデータは提供されません。指定されたメタデータが有効でない場合、メタデータは提供されません。この設定マップの namespace は openshift-config-managed です。

name

string

name は、参照される設定マップの metadata.name です。