8.2. 直接認証に使用する外部 OIDC アイデンティティープロバイダーの設定

手順

1. インストールプログラムによって生成された kubeconfig ファイル、またはクラスター管理者としてログインする別の長期的な方法を使用していることを確認します。

2. 次のコマンドを実行して、Web コンソールでの認証を可能にするシークレットを作成します。

   $ oc create secret generic console-secret \
       --from-literal=clientSecret=<secret_value> \

   1

   
       -n openshift-config

   Copy to Clipboard Toggle word wrap

   1

   <secret_value> は、アイデンティティープロバイダーの console-test クライアントのシークレット値に置き換えます。

3. オプション: 次のコマンドを実行して、プロバイダーの認証局バンドルを含む config map を作成します。

   $ oc create configmap keycloak-oidc-ca --from-file=ca-bundle.crt=my-directory/ca-bundle.crt \

   1

   
       -n openshift-config

   Copy to Clipboard Toggle word wrap

   1

   プロバイダーの ca-bundle.crt ファイルへのパスを指定します。

4. 次のコマンドを実行して認証設定を編集します。

   $ oc edit authentication.config/cluster

   Copy to Clipboard Toggle word wrap

5. type フィールドを OIDC に設定し、プロバイダーの oidcProviders フィールドを設定し、webhookTokenAuthenticator フィールドを null に設定して、認証設定を更新します。

   apiVersion: config.openshift.io/v1
   kind: Authentication
   metadata:
   # ...
   spec:
     oidcProviders: 

   1

   
     - claimMappings:
         groups:
           claim: groups 

   2

   
           prefix: 'oidc-groups-test:'
         username:
           claim: email 

   3

   
           prefixPolicy: Prefix
           prefix:
             prefixString: 'oidc-user-test:'
       issuer:
         audiences: 

   4

   
         - console-test
         - oc-cli-test
         issuerCertificateAuthority:
           name: keycloak-oidc-ca 

   5

   
         issuerURL: https://keycloak-keycloak.apps.example.com/realms/master 

   6

   
       name: 'keycloak-oidc-server' 

   7

   
       oidcClients:
       - clientID: oc-cli-test 

   8

   
         componentName: cli
         componentNamespace: openshift-console
       - clientID: console-test 

   9

   
         clientSecret:
           name: console-secret 

   10

   
         componentName: console
         componentNamespace: openshift-console
     type: OIDC 

   11

   
     webhookTokenAuthenticator: null 

   12

   Copy to Clipboard Toggle word wrap

   1

   OIDC プロバイダーの設定。現在、OIDC プロバイダー設定は 1 つだけ許可されています。

   2

   クラスターアイデンティティーのグループ名を構築するために使用されるクレームの名前。

   3

   クラスターアイデンティティーのユーザー名を構築するために使用されるクレームの名前。

   4

   この認証プロバイダーがトークンを発行するオーディエンスのリスト。

   5

   ca-bundle.crt キーが含まれる config map の名前。設定されていない場合は、代わりにシステム信頼が使用されます。

   6

   トークン発行者の URL。

   7

   外部 OIDC プロバイダーの名前。

   8

   プロバイダーが OpenShift CLI (oc) に使用するクライアント ID。

   9

   プロバイダーが OpenShift Container Platform Web コンソールに使用するクライアント ID。

   10

   コンソールクライアントのシークレット値を保存するシークレットの名前。

   11

   外部 OIDC アイデンティティープロバイダーを使用することを示すには、OIDC に設定する必要があります。

   12

   type が OIDC に設定されている場合は null に設定する必要があります。

   使用可能なすべてのパラメーターの詳細は、「OIDC プロバイダー設定パラメーター」を参照してください。

6. 終了して変更を保存し、新しい設定を適用します。

7. クラスターが新しいリビジョンをすべてのノードにロールアウトするまで待ちます。

   1. 次のコマンドを実行して、Kubernetes API server Operator のステータスを確認します。

      $ oc get co kube-apiserver

      Copy to Clipboard Toggle word wrap

      出力例

      NAME             VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE   MESSAGE
      kube-apiserver   4.19.0    True        True          False      85m     NodeInstallerProgressing: 2 node are at revision 8; 1 node is at revision 10

      Copy to Clipboard Toggle word wrap

      前の例のメッセージは、1 つのノードが新しいリビジョンに進み、2 つのノードがまだ更新されていないことを示しています。クラスターのサイズによっては、新しいリビジョンをすべてのノードにロールアウトするのに 20 分以上かかる場合があります。

   2. 問題をトラブルシューティングするために、Cluster Authentication Operator と kube-apiserver Pod のログでエラーを確認することもできます。

検証

1. アイデンティティープロバイダーで認証して、OpenShift CLI (oc) にログインできることを確認します。

   1. 次のコマンドを実行してログインします。

      $ oc login --exec-plugin=oc-oidc \

      1

      
          --issuer-url=https://keycloak-keycloak.apps.example.com/realms/master \

      2

      
          --client-id=oc-cli-test \

      3

      
          --extra-scopes=email --callback-port=8080 \
          --oidc-certificate-authority my-directory/ca-bundle.crt 

      4

      Copy to Clipboard Toggle word wrap

      1

      exec プラグインタイプとして oc-oidc を指定します。oc-oidc の値のみが許可されます。

      2

      アイデンティティープロバイダーの発行者 URL を指定します。

      3

      OpenShift CLI (oc) のクライアント ID を指定します。

      4

      ローカルマシン上の ca-bundle.crt ファイルへのパスを指定します。

      出力例

      Please visit the following URL in your browser: http://localhost:8080

      Copy to Clipboard Toggle word wrap

   2. ブラウザーで http://localhost:8080 を開きます。

   3. アイデンティティープロバイダーからの認証情報を使用して認証します。

      認証に成功すると、ターミナルに次の出力のようなメッセージが表示されます。

      Logged into "https://api.my-cluster.example.com:6443" as "oidc-user-test:user1@example.com" from an external oidc issuer.

      Copy to Clipboard Toggle word wrap

2. アイデンティティープロバイダーで認証して、OpenShift Container Platform Web コンソールにログインできることを確認します。

   1. ブラウザーでクラスターの Web コンソール URL を開きます。

      ログインのために、アイデンティティープロバイダーにリダイレクトされます。

   2. アイデンティティープロバイダーからの認証情報を使用して認証します。

      正常にログインし、OpenShift Container Platform Web コンソールにリダイレクトされたことを確認します。