8.9. capabilities に関連するプロダクトカスタムリソース

手順

1. OpenID プロバイダーの場所を定義するエンドポイント issuerEndpoint を決定し、プロダクトカスタムリソースでこの形式を使用します。

   https://<client_id>:<client_secret>@<host>:<port_number>/auth/realms/<realm_name>`

   Copy to Clipboard Toggle word wrap

2. OAuth 2.0 フローの OpenID Connect (OIDC) 認証を指定する 3scale Product CR を定義または更新します。以下に例を示します。

   apiVersion: capabilities.3scale.net/v1beta1
   kind: Product
   metadata:
     name: product1
   spec:
     name: "OperatedProduct 1"
     deployment:
       <any>:
         authentication:
           oidc:
             issuerType: "keycloak"
             issuerEndpoint: "https://myclientid:myclientsecret@mykeycloack.example.com/auth/realms/myrealm"
             authenticationFlow:
               standardFlowEnabled: false
               implicitFlowEnabled: true
               serviceAccountsEnabled: true
               directAccessGrantsEnabled: true
             jwtClaimWithClientID: "azp"
             jwtClaimWithClientIDType: "plain"

   Copy to Clipboard Toggle word wrap

3. 定義したばかりのリソースを作成します。以下に例を示します。

   oc create -f product1.yaml

   Copy to Clipboard Toggle word wrap

   この例では、出力は以下のようになります。

   product.capabilities.3scale.net/product1 created

   Copy to Clipboard Toggle word wrap

手順

1. 新規またはデプロイされた Product CR で、gatewayResponse オブジェクトに 1 つ以上の応答を設定します。次の例は、userKey と呼ばれる認証モードの Apacast ホスト型デプロイメントのレスポンス設定を示しています。

   apiVersion: capabilities.3scale.net/v1beta1
   kind: Product
   metadata:
     name: product1
   spec:
     name: "OperatedProduct 1"
     deployment:
       apicastHosted:
         authentication:
           userkey:
             gatewayResponse:
               errorStatusAuthFailed: 500
               errorHeadersAuthFailed: "text/plain; charset=mycharset"
               errorAuthFailed: "My custom reponse body"
               errorStatusAuthMissing: 500
               errorHeadersAuthMissing: "text/plain; charset=mycharset"
               errorAuthMissing: "My custom reponse body"
               errorStatusNoMatch: 501
               errorHeadersNoMatch: "text/plain; charset=mycharset"
               errorNoMatch: "My custom reponse body"
               errorStatusLimitsExceeded: 502
               errorHeadersLimitsExceeded: "text/plain; charset=mycharset"
               errorLimitsExceeded: "My custom reponse body"

   Copy to Clipboard Toggle word wrap

2. ゲートウェイのレスポンスが含まれる Product CR をデプロイします。たとえば、product1.yaml ファイルを更新した場合は、以下のコマンドを実行します。

   oc create -f product1.yaml

   Copy to Clipboard Toggle word wrap

   この例では、出力は以下のようになります。

   product.capabilities.3scale.net/product1 created

   Copy to Clipboard Toggle word wrap

手順

1. 新規またはデプロイされた Product CR で、policies オブジェクトに 1 つ以上のポリシーを設定します。以下に例を示します。

     apiVersion: capabilities.3scale.net/v1beta1
     kind: Product
     metadata:
       name: product1
     spec:
       name: "OperatedProduct 1"
       policies:
       - configuration:
           http_proxy: http://example.com
           https_proxy: https://example.com
         enabled: true
         name: camel
         version: builtin
       - configuration: {}
         enabled: true
         name: apicast
         version: builtin

   Copy to Clipboard Toggle word wrap

   それぞれのポリシーについて、以下のフィールドを指定します。

   • ポリシーにパラメーターがない場合、configuration は空白の中かっこを指定します。ポリシーにパラメーターがある場合は、ここで指定します。指定する必要のあるパラメーターの名前については、API ゲートウェイ、APIcast 標準ポリシーの管理 の関連するポリシーのドキュメントを参照してください。
   • enabled は、ポリシーをオンまたはオフにするブール値のスイッチです。
   • name はポリシーを識別します。これは、Product カスタムリソースがリンクするテナントの範囲にある一意の名前です。ポリシー名を特定するには、API ゲートウェイ、APIcast 標準ポリシーの管理 の関連するポリシーのドキュメントを参照してください。

   • version は、標準ポリシーの場合は builtin で、カスタムポリシーの場合はユーザー定義の文字列です。たとえば、カスタムポリシーのバージョンを 1.0 に設定できます。

     Product CR に apicast ポリシーを指定しないと、operator がこれを追加します。

     ポリシーチェーンがすでに管理ポータルに定義されている場合は、3scale toolbox の export コマンドを実行してポリシーチェーンを .yaml 形式でエクスポートできます。export 出力を Product CR に貼り付けできます。たとえば、api-provider-account-one は 3scale プロバイダーアカウントの名前で、my-api-product-one はポリシーチェーンをエクスポートするプロダクトの名前である場合、以下のコマンドを実行します。

   3scale policies export api-provider-account-one my-api-product-one

   Copy to Clipboard Toggle word wrap

2. ポリシーチェーンが含まれる Product CR をデプロイします。たとえば、product1.yaml ファイルを更新した場合は、以下のコマンドを実行します。

   oc create -f product1.yaml

   Copy to Clipboard Toggle word wrap

   この例では、出力は以下のようになります。

   product.capabilities.3scale.net/product1 created

   Copy to Clipboard Toggle word wrap

1. providerAccountRef リソース属性からのクレデンシャルを確認します。これはシークレットのローカル参照です (例: mytenant)。

   apiVersion: capabilities.3scale.net/v1beta1
   kind: Product
   metadata:
     name: product1
   spec:
     name: "OperatedProduct 1"
     providerAccountRef:
       name: mytenant

   Copy to Clipboard Toggle word wrap

   mytenant シークレットの adminURL および tokenフィールドには、テナントクレデンシャルが設定されている必要があります。以下に例を示します。

   apiVersion: v1
   kind: Secret
   metadata:
     name: mytenant
   type: Opaque
   stringData:
     adminURL: https://my3scale-admin.example.com:443
     token: "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"

   Copy to Clipboard Toggle word wrap

2. デフォルトの threescale-provider-account シークレットを確認します。例: adminURL=https://3scale-admin.example.com および token=123456:

   oc create secret generic threescale-provider-account --from-literal=adminURL=https://3scale-admin.example.com --from-literal=token=123456

   Copy to Clipboard Toggle word wrap
3. 3scale デプロイメントの同じ namespace にあるデフォルトのプロバイダーアカウントを確認します。3scale インストール環境がカスタムリソースと同じ namespace にある場合、operator はデフォルトの 3scale テナント (プロバイダーアカウント) に必要なクレデンシャルを自動的に収集します。