10.6. 高度な認証フィールドのリファレンス

issuer.discoveryURL

オプションのパラメーター。標準以外の場所からアイデンティティープロバイダーのメタデータを取得するための、カスタム OIDC 検出エンドポイント URL。

要件

指定されていない場合、OpenShift Container Platform は標準の OIDC フォーマット ({issuerURL}/.well-known/openid-configuration) を使用して検出 URL を構築します。

以下に例を示します。

claimValidationRules

オプションのパラメーター。Common Expression Language (CEL) 式を使用した、JWT トークンクレームの検証ルールの配列。認証が成功するためには、すべてのルールが true と評価される必要があります (AND 演算)。

各ルールには以下が含まれます。

CEL 式は、claims 変数 (例: claims.sub) を使用してクレームにアクセスします。

以下に例を示します。

claimValidationRules[].type

必須。検証ルールのタイプ。CEL ベースの検証を行う場合は、CEL に設定します。cel フィールドが必要です。

claimValidationRules[].cel

type が CEL の場合は必須です。expression (評価対象の CEL 式) と message (エラーテキスト) が含まれています。

claimValidationRules[].cel.expression

必須。トークンクレームを検証する CEL 式。認証が成功するには、評価結果が true である必要があります。

制約: 1 - 1024 文字で、評価がブール値になる必要があります。

claims 変数を使用してクレームにアクセスします: claims.sub、claims.foo.bar (ネスト)、has(claims.email) (存在チェック)。

claimValidationRules[].cel.message

必須。検証に失敗した際に表示されるエラーメッセージ。文字数制限: 1-256 文字。

userValidationRules

オプションのパラメーター。CEL 式を使用した、ユーザーオブジェクトの検証ルールの配列。認証が成功するためには、すべてのルールが true と評価される必要があります (AND 演算)。

各ルールには、expression (true 評価が必要) と message (エラーテキスト) があります。

CEL 式は、user 変数を使用してユーザーにアクセスします: user.username (文字列)、user.groups (配列)、user.uid (文字列)、user.extra (マップ)。

以下に例を示します。

userValidationRules[].expression

必須。ユーザーオブジェクトを検証する CEL 式。認証が成功するには、評価結果が true である必要があります。

制約: 1 - 1024 文字で、評価がブール値になる必要があります。

ユーザーフィールドにアクセスします: user.username.startsWith('system:')、user.groups.exists(g, g == "admin")、user.extra["example.com/role"]。

userValidationRules[].message

必須。検証に失敗した際に表示されるエラーメッセージ。空欄にはできません