第10章 Hosted Control Plane の認証と認可

手順

1. 次のコマンドを実行して、管理クラスターで HostedCluster カスタムリソース (CR) を編集します。

   $ oc edit hostedcluster <hosted_cluster_name> -n <hosted_cluster_namespace>

2. 次の例を使用して、HostedCluster CR に OAuth 設定を追加します。

   apiVersion: hypershift.openshift.io/v1alpha1
   kind: HostedCluster
   metadata:
     name: <hosted_cluster_name>
     namespace: <hosted_cluster_namespace>
   spec:
     configuration:
       oauth:
         identityProviders:
         - openID:
             claims:
               email:
                 - <email_address>
               name:
                 - <display_name>
               preferredUsername:
                 - <preferred_username>
             clientID: <client_id>
             clientSecret:
               name: <client_id_secret_name>
             issuer: https://example.com/identity
           mappingMethod: lookup
           name: IAM
           type: OpenID

   • metadata.name はホステッドクラスター名を指定します。
   • metadata.namespace はホステッドクラスター namespace を指定します。
   • spec.configuration.oauth.identityProviders.openID は、アイデンティティークレームの値の前に付加され、アイデンティティー名を形成するプロバイダー名です。プロバイダー名はリダイレクト URL の構築にも使用されます。
   • spec.configuration.oauth.identityProviders.openID.claims.email は、メールアドレスとして使用する属性のリストを定義します。
   • spec.configuration.oauth.identityProviders.openID.claims.name は、表示名として使用する属性のリストを定義します。
   • spec.configuration.oauth.identityProviders.openID.claims.preferredUsername は、優先ユーザー名として使用する属性のリストを定義します。
   • spec.configuration.oauth.identityProviders.openID.clientID は、OpenID プロバイダーに登録されたクライアントの ID を定義します。このクライアントを URL https://oauth-openshift.apps.<cluster_name>.<cluster_domain>/oauth2callback/<idp_provider_name> にリダイレクトできるようにする必要があります。
   • spec.configuration.oauth.identityProviders.openID.clientSecret.name は、OpenID プロバイダーに登録されたクライアントのシークレットを定義します。
   • spec.configuration.oauth.identityProviders.openID.issuer は、OpenID 仕様で説明されている発行者識別子を指定します。クエリーまたはフラグメントコンポーネントのない https を使用する必要があります。発行者識別子の詳細は、「発行者識別子」を参照してください。
   • spec.configuration.oauth.identityProviders.mappingMethod は、このプロバイダーのアイデンティティーとユーザーオブジェクト間のマッピングを確立する方法を制御するマッピング方法を定義します。
3. 変更を適用するためにファイルを保存します。