2.3. API 認証

OpenShift Container Platform API へのリクエストは、OAuth アクセストークンまたは X.509 クライアント証明書を使用して認証され、無効な認証情報は拒否され、匿名リクエストには認可処理のために仮想ユーザーおよびグループアイデンティティーが割り当てられます。

OAuth アクセストークン

<namespace_route>/oauth/authorize および <namespace_route>/oauth/token エンドポイントを使用して OpenShift Container Platform OAuth サーバーから取得されます。
Authorization: Bearer… ヘッダーとして送信されます。
websocket 要求の base64url.bearer.authorization.k8s.io.<base64url-encoded-token> 形式の websocket サブプロトコルヘッダーとして送信されます。

X.509 クライアント証明書

無効なアクセストークンまたは無効な証明書での要求は認証層によって拒否され、401 エラーが表示されます。

アクセストークンまたは証明書が提供されない場合、認証層は system:anonymous 仮想ユーザーおよび system:unauthenticated 仮想グループを要求に割り当てます。これにより、認可層は匿名ユーザーが実行できる要求 (ある場合) を決定できます。

OpenShift Container Platform のコントロールプレーンには、組み込みの OAuth サーバーが含まれています。ユーザーは OAuth アクセストークンを取得して、API に対して認証します。

新しい OAuth のトークンが要求されると、OAuth サーバーは設定済みのアイデンティティープロバイダーを使用して要求したユーザーのアイデンティティーを判別します。

次に、そのアイデンティティーがマップするユーザーを判別し、そのユーザーのアクセストークンを作成し、そのトークンを使用できるように返します。