5.8. Keycloak を使用した Argo CD の SSO の設定

1. Argo CD カスタムリソース (CR) から次のセクションを削除して Dex 設定を削除し、CR を保存します。

   dex:
       openShiftOAuth: true
       resources:
         limits:
           cpu:
           memory:
         requests:
           cpu:
           memory:

2. Argo CD CR を編集して Keycloak を設定し、provider パラメーターの値を keycloak として更新します。以下に例を示します。

   apiVersion: argoproj.io/v1alpha1
   kind: ArgoCD
   metadata:
     name: example-argocd
     labels:
       example: basic
   spec:
     sso:
       provider: keycloak
     server:
       route:
        enabled: true

手順

1. ログイン用の Keycloak ルート URL を取得します。

   $ oc -n argocd get route keycloak
   
   NAME        HOST/PORT                                                        PATH   SERVICES   PORT    TERMINATION   WILDCARD
   keycloak    keycloak-default.apps.ci-ln-******.origin-ci-int-aws.dev.**.com         keycloak   <all>    reencrypt     None

2. 環境変数としてユーザー名とパスワードを保存する Keycloak Pod 名を取得します。

   $ oc -n argocd get pods
   
   NAME                      READY   STATUS           RESTARTS   AGE
   keycloak-1-2sjcl           1/1    Running            0        45m

   1. Keycloak ユーザー名を取得します。

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_USERNAME
      
      SSO_ADMIN_USERNAME=Cqid54Ih

   2. Keycloak パスワードを取得します。

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_PASSWORD
      
      SSO_ADMIN_PASSWORD=GVXxHifH

3. ログインページで、LOG IN VIA KEYCLOAK をクリックします。

   注記

   Keycloak インスタンスの準備ができた後にのみ、LOGIN VIA KEYCLOAK オプションが表示されます。

4. Login with OpenShift をクリックします。

   注記

   kubeadmin を使用したログインはサポートされていません。

5. ログインするために OpenShift の認証情報を入力します。

6. オプション: デフォルトでは、Argo CD にログインしているすべてのユーザーが、読み取り専用アクセス権を持っています。argocd-rbac-cm 設定マップを更新して、ユーザーレベルのアクセスを管理できます。

   policy.csv:
   <name>, <email>, role:admin

1. Keycloak Pod にログインします。

   $ oc exec -it dc/keycloak -n argocd -- /bin/bash

2. JBoss CLI ツールを起動して、プロキシーマッピングを設定します。

   /opt/eap/bin/jboss-cli.sh

3. JBoss CLI ツールで以下のコマンドを実行し、埋め込みスタンドアロンサーバーを起動します。

   embed-server --server-config=standalone-openshift.xml

4. OpenShift OAuth サーバーホストのプロキシーマッピングを設定します。

   /subsystem=keycloak-server/spi=connectionsHttpClient/provider=default:write-attribute(name=properties.proxy-mappings,value=["<oauth-server-hostname>;http://<proxy-server-host>:<proxy-server-port>"])

5. 埋め込みサーバーを停止します。

   quit

6. JBoss CLI ツールをリロードして、プロキシーマッピングを適用します。

   /opt/eap/bin/jboss-cli.sh --connect --command=:reload