14.4.5. 拡張された Active Directory スキーマの使用によるグループの同期

• グループとユーザーが LDAP サーバーに追加される方法。
• LDAP 同期設定ファイルの概観。
• 同期後に生成される OpenShift Container Platform の Group レコード。

• oc adm groups sync コマンドはグループを明示的にホワイトリスト化する必要があります。
• ユーザーの groupMembershipAttributes には "memberOf:1.2.840.113556.1.4.1941:" を含め、LDAP_MATCHING_RULE_IN_CHAIN ルールに従う必要があります。
• groupUIDAttribute は dn に設定される必要があります。

• groupsQuery:

  • filter を設定しないでください。
  • 有効な derefAliases を設定する必要があります。
  • baseDN を設定しないでください。 この値は無視されます。
  • scope を設定しないでください。 この値は無視されます。

前提条件

• 設定ファイルを作成します。

手順

• augmented_active_directory_config_nested.yaml ファイルを使用して同期を実行します。

  $ oc adm groups sync \
      'cn=admins,ou=groups,dc=example,dc=com' \
      --sync-config=augmented_active_directory_config_nested.yaml \
      --confirm

  注記

  cn=admins,ou=groups,dc=example,dc=com グループを明示的にホワイトリスト化する必要があります。

  OpenShift Container Platform は、上記の同期操作の結果として以下のグループレコードを作成します。

  augmented_active_directory_config_nested.yaml ファイルを使用して作成される OpenShift Group

  apiVersion: user.openshift.io/v1
  kind: Group
  metadata:
    annotations:
      openshift.io/ldap.sync-time: 2015-10-13T10:08:38-0400 1
      openshift.io/ldap.uid: cn=admins,ou=groups,dc=example,dc=com 2
      openshift.io/ldap.url: LDAP_SERVER_IP:389 3
    creationTimestamp:
    name: admins 4
  users: 5
  - jane.smith@example.com
  - jim.adams@example.com

  1

  この OpenShift Container Platform Group と LDAP サーバーが最後に同期された時間です。ISO 6801 形式を使用します。

  2

  LDAP サーバーのグループの固有識別子です。

  3

  このグループのレコードが保存される LDAP サーバーの IP アドレスとホストです。

  4

  同期ファイルが指定するグループ名です。

  5

  グループのメンバーのユーザーです。同期ファイルで指定される名前が使用されます。グループメンバーシップは Microsoft Active Directory Server によって平坦化されているため、ネスト化されたグループのメンバーが含まれることに注意してください。