9.2. 直接認証に使用する外部 OIDC アイデンティティープロバイダーの設定

claimMappings

Kubernetes API サーバーが、アイデンティティープロバイダーによって発行された JSON web token (JWT) 内のクレームをクラスターアイデンティティーに変換するために使用するルールを設定します。

claimMappings.extra

クラスターアイデンティティーの追加属性の構築に使用されるマッピングを設定するためのオプションフィールド。省略すると、クラスターアイデンティティーに追加の属性は存在しなくなります。追加マッピングのキー値は一意である必要があります。最大 32 個の追加属性マッピングを提供できます。

claimMappings.extra.key

追加属性キーとして使用する文字列を指定する必須フィールド。以下の制限が適用されます。

claimMappings.extra.valueExpression

JWT トークンのクレームから追加の属性値を抽出する CEL 式を指定するための必須フィールド。valueExpression フィールドは文字列または文字列配列の値を生成する必要があります。以下の制限が適用されます。

claimMappings.groups

クラスターアイデンティティーのグループが、アイデンティティープロバイダーによって発行された JWT トークン内のクレームから構築される方法を設定します。クレームの参照時にクレームが JWT トークン内に存在する場合、その値はグループのコンマ区切りリストである必要があります。

claimMappings.groups.claim

オプションのパラメーター。グループマッピングに使用される JWT トークンクレーム。claim または expression の両方ではなく、いずれか一方のみ設定します。文字数: 1-256 文字。

claimMappings.groups.expression

オプションのパラメーター。JWT トークンクレームから文字列または文字列配列を生成する CEL 式。

クレームにアクセスするには、claims 変数を使用します (たとえば、claims.groups や、ネストされたクレームの場合は claims.foo.bar)。

claim または expression の両方ではなく、いずれか一方のみ設定します。文字数: 1-1024 文字。

claimMappings.groups.prefix

JWT クレームをクラスターアイデンティティー属性にマッピングするプロセス中にクラスターアイデンティティー属性に適用される接頭辞を設定します。

claimMappings.uid

クラスターアイデンティティーの UID の構築に使用されるクレームマッピングを設定するためのオプションフィールド。省略すると、ユーザーによる指定なしとみなされ、プラットフォームによってデフォルトが選択されます。デフォルトは、今後変更される可能性があります。現在のデフォルトでは、sub クレームが使用されます。

claimMappings.uid.claim

マッピングで使用される JWT トークンクレームを指定するためのオプションフィールド。このクレームの値は、このマッピングが関連付けられているフィールドに割り当てられます。クレームを指定するには、uid.claim に単一の文字列値を使用します。

claim または expression のいずれかを設定する必要があります。expression を設定する場合は claim を指定しないでください。claim の値は 1 文字以上で、長さが 256 文字以内にする必要があります。

claimMappings.uid.expression

JWT トークンクレームから文字列値を生成する CEL 式を指定するためのオプションフィールド。uid.expression を使用する場合、式の結果は単一の文字列値になる必要があります。

CEL 式は、CEL 変数 claims を通じてトークンクレームにアクセスできます。claims 変数は、クレーム名とクレーム値のマップです。たとえば、claims.sub として sub クレーム値にアクセスできます。ネストされたクレームには、ドット表記を使用してアクセスできます (例: claims.foo.bar)。

claim または expression のいずれかを設定する必要があります。claim が設定されている場合は expression を指定しないでください。expression の値は 1 文字以上で、長さが 1024 文字以内にする必要があります。

claimMappings.username

アイデンティティープロバイダーによって発行された JWT トークン内のクレームからクラスターアイデンティティーのユーザー名を構築する方法を設定します。

claimMappings.username.claim

オプションのパラメーター。ユーザー名のマッピングに使用される JWT トークンクレーム。claim または expression の両方ではなく、いずれか一方のみ設定します。文字数: 1-256 文字。

claimMappings.username.expression

オプションのパラメーター。JWT トークンクレームから文字列値を生成する CEL 式。単一の文字列が生成されなければなりません。

クレームにアクセスするには、claims 変数を使用します (たとえば、claims.email や、ネストされたクレームの場合は claims.foo.bar)。

claim または expression の両方ではなく、いずれか一方のみ設定します。文字数: 1-1024 文字。

claimMappings.username.prefix

JWT クレームの値の先頭に追加する接頭辞を設定します。prefixPolicy が Prefix に設定されている場合は設定する必要があり、それ以外の場合は設定を解除する必要があります。

claimMappings.username.prefix.prefixString

JWT クレームをクラスターアイデンティティーユーザー名属性にマッピングするプロセス中にクラスターアイデンティティー属性に適用される接頭辞を設定します。空の文字列 ("") にすることはできません。

claimMappings.username.prefixPolicy

claim フィールドで指定された JWT クレームの値に接頭辞を適用する方法を設定します。許可される値は Prefix か NoPrefix で、省略 (指定なしまたは空の文字列) することもできます。

Prefix に設定すると、接頭辞フィールドで指定された値が JWT クレームの値の先頭に追加されます。prefixPolicy が Prefix の場合、接頭辞フィールドを設定する必要があります。

NoPrefix に設定すると、JWT クレームの値の先頭に接頭辞は付加されません。

省略すると、指定なしとみなされ、プラットフォームによって選択された接頭辞が適用されます。ただし、これは今後変更される可能性があります。

現時点では、クレームが email 以外の場合、プラットフォームは JWT クレームの値の先頭に {issuerURL}# を追加します。

claimValidationRules

アイデンティティープロバイダーによって発行された JWT トークン内のクレームを検証するために Kubernetes API サーバーが使用するルールを設定します。検証ルールは AND 演算で結合されます。

claimValidationRules.cel

オプションのパラメーター。type が CEL の場合は必須です。expression (評価対象の CEL 式) と message (エラーテキスト) が含まれています。

claimValidationRules.cel.expression

トークンクレームを検証する CEL 式。認証が成功するには、評価結果が true である必要があります。

クレームにアクセスするには、ドット表記を使用して claims 変数を使用します (たとえば、claims.sub または claims.foo.bar)。

制限: 1-1024 文字。

claimValidationRules.cel.message

検証に失敗した際に表示されるエラーメッセージ。文字数制限: 1-256 文字。

claimValidationRules.requiredClaim

Kubernetes API サーバーが、受信 JWT がこのアイデンティティープロバイダーに対して有効かどうかを検証するために使用する、必須のクレームと値を設定します。type が RequiredClaim に設定されている場合は必須です。

claimValidationRules.requiredClaim.claim

必須クレームの名前を設定します。JWT クレームから取得する場合、クレームは文字列の値である必要があります。空の文字列 ("") にすることはできません。

claimValidationRules.requiredClaim.requiredValue

受信した JWT クレームから取得した場合に claim が持っていなければならない値を設定します。JWT クレームの値が一致しない場合、トークンの認証は拒否されます。空の文字列 ("") にすることはできません。

claimValidationRules.type

検証ルールのタイプ。許可される値: RequiredClaim および CEL。

issuer

プラットフォームがアイデンティティープロバイダーと対話する方法と、アイデンティティープロバイダーから発行されたトークンが Kubernetes API サーバーによって評価される方法を設定する必須フィールド。

issuer.audiences

アイデンティティープロバイダーによって発行される JWT トークンの発行先として許可されるオーディエンスを設定する必須フィールド。エントリーの少なくとも 1 つは、JWT トークンの aud クレームと一致する必要があります。少なくとも 1 つのエントリーがなければならず、またエントリー数は 10 以下でなければなりません。

issuer.discoveryURL

オプションのパラメーター。カスタム OIDC 検出エンドポイント URL。有効な HTTPS URL で、かつ issuer.issuerURL とは異なる必要があります。

指定されていない場合、OpenShift Container Platform は標準の OIDC フォーマット ({issuerURL}/.well-known/openid-configuration) を使用して検出 URL を構築します。

issuer.issuerCertificateAuthority

Kubernetes API サーバーが使用する認証局を設定して、検出情報を取得するときにアイデンティティープロバイダーへの接続を検証します。指定しない場合は、システム信頼が使用されます。指定する場合は、config map の data フィールドの ca-bundle.crt キーの下にある PEM エンコードされた CA 証明書が含まれる openshift-config namespace の config map を参照する必要があります。

issuer.issuerCertificateAuthority.name

参照される config map の名前。

issuer.issuerURL

アイデンティティープロバイダーによってトークンを発行するために使用される URL を設定します。Kubernetes API サーバーは、JWT の iss クレームを設定されたアイデンティティープロバイダーの issuerURL と照合することで、認証トークンを処理する方法を決定します。これは必須フィールドであり、https:// スキームを使用する必要があります。

name

アイデンティティープロバイダーに関連付けられた、人間が判読できる一意の識別子を設定する必須フィールド。複数のアイデンティティープロバイダーを区別するために使用され、トークンの検証や認証メカニズムには影響しません。空の文字列 ("") にすることはできません。

oidcClients

クラスター上のプラットフォームクライアントがアイデンティティープロバイダーからトークンを要求する方法を設定します。エントリーは 20 以下でなければならず、エントリーには一意の namespace/名前のペアが必要です。

oidcClients.clientID

プラットフォームコンポーネントがアイデンティティープロバイダーへの認証要求に使用する、アイデンティティープロバイダーからのクライアント ID を設定します。プラットフォームコンポーネントがアイデンティティープロバイダーを認証モードとして使用するためには、アイデンティティープロバイダーがこの識別子を受け入れる必要があります。空の文字列 ("") にすることはできません。

oidcClients.clientSecret

アイデンティティープロバイダーへの認証要求を行うときにプラットフォームコンポーネントによって使用されるクライアントシークレットを設定します。

指定しない場合、アイデンティティープロバイダーへの認証要求時にクライアントシークレットは使用されません。

指定すると、.data フィールドの clientSecret キーにクライアントシークレットが含まれる openshift-config namespace 内のシークレットが参照されます。クライアントシークレットは、アイデンティティープロバイダーへの認証要求を行うときに使用されます。

パブリッククライアントにクライアントシークレットは必要ありませんが、プライベートクライアントにはアイデンティティープロバイダーと連携するためにクライアントシークレットが必要です。

oidcClients.clientSecret.name

参照されるシークレットの名前。

oidcClients.componentName

認証モードとしてアイデンティティープロバイダーを使用するように設定されているプラットフォームコンポーネントの名前を指定します。一意の識別子として、componentNamespace と組み合わせて使用されます。空の文字列 ("") にはできず、長さは 256 文字以下でなければなりません。

oidcClients.componentNamespace

認証モードとしてアイデンティティープロバイダーを使用するように設定されているプラットフォームコンポーネントが実行されている namespace を指定します。一意の識別子として、componentName と組み合わせて使用されます。空の文字列 ("") にはできず、長さは 63 文字以下でなければなりません。

oidcClients.extraScopes

アイデンティティープロバイダーへの認証要求を行うときに、プラットフォームコンポーネントによって要求される追加のスコープを設定します。標準の OIDC スコープ以外の特定のスコープを要求する必要があるクレームマッピングを設定している場合、この機能が役立ちます。省略すると、追加のスコープは要求されません。

userValidationRules

オプションのパラメーター。認証済みトークンから作成されたユーザーオブジェクトの検証ルール。すべてのルールに合格する必要があります (AND 操作)。

各ルールには、expression (true 評価が必要) と message (エラーテキスト) が含まれます。

user 変数を使用してユーザーにアクセス: user.username (文字列)、user.groups (配列)、user.uid (文字列)、user.extra (マップ)。

userValidationRules[].expression

必須。ユーザーオブジェクトを検証する CEL 式。認証が成功するには、評価結果が true である必要があります。制限: 1-1024 文字、ブール値の結果。

userValidationRules[].message

必須。検証に失敗した際に表示されるエラーメッセージ。