3.5. 内部 OAuth サーバーのトークンの非アクティブタイムアウトの設定

手順

1. OAuth 設定を更新して、トークンの非アクティブタイムアウトを設定します。

   1. OAuth オブジェクトを編集します。

      $ oc edit oauth cluster

      Copy to Clipboard Toggle word wrap

      spec.tokenConfig.accessTokenInactivityTimeout フィールドを追加し、タイムアウト値を設定します。

      apiVersion: config.openshift.io/v1
      kind: OAuth
      metadata:
      ...
      spec:
        tokenConfig:
          accessTokenInactivityTimeout: 400s 

      1

      Copy to Clipboard Toggle word wrap

      1

      値は適切な単位で設定します。たとえば、400 秒の場合は 400s に、30 分の場合は 30m に設定します。許可される最小のタイムアウト値は 300s です。

   2. 変更を適用するためにファイルを保存します。

2. OAuth サーバー Pod が再起動していることを確認します。

   $ oc get clusteroperators authentication

   Copy to Clipboard Toggle word wrap

   以下の出力にあるように、PROGRESSING が False と表示されるまで次の手順に移行しないでください。

   出力例

   NAME             VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE
   authentication   4.17.0    True        False         False      145m

   Copy to Clipboard Toggle word wrap

3. Kubernetes API サーバー Pod の新規リビジョンがロールアウトされていることを確認します。これには数分の時間がかかります。

   $ oc get clusteroperators kube-apiserver

   Copy to Clipboard Toggle word wrap

   以下の出力にあるように、PROGRESSING が False と表示されるまで次の手順に移行しないでください。

   出力例

   NAME             VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE
   kube-apiserver   4.17.0     True        False         False      145m

   Copy to Clipboard Toggle word wrap

   PROGRESSING が True と表示されている場合は、数分待機してから再試行します。

検証

1. IDP のアイデンティティーでクラスターにログインします。
2. コマンドを実行して、コマンドが正常に実行されたことを確認します。
3. アイデンティティーを使用せずに、設定されたタイムアウトよりも長く待機します。この手順の例では、400 秒よりも長い時間待機します。

4. 同じアイデンティティーのセッションからのコマンドの実行を試行します。

   非アクティブの状態が設定されたタイムアウトよりも長く続くとトークンの有効期限が切れるために、このコマンドは失敗します。

   出力例

   error: You must be logged in to the server (Unauthorized)

   Copy to Clipboard Toggle word wrap