13.4. 3scale API Management を Red Hat single sign-on と Red Hat build of Keycloak と統合して OpenID Connect アイデンティティープロバイダーとして使用する方法

手順

1. .pem 形式で CA 証明書チェーンを取得し、各証明書を個別のファイル (例: customCA1.pem、customCA2.pem など) として保存します。

2. 各証明書ファイルをテストし、これが有効な CA であることを確認します。以下に例を示します。

   $ openssl x509 -in customCA1.pem -noout -text | grep "CA:"

   これは CA:TRUE または CA:FALSE のいずれかを出力します。各証明書ファイルで、出力を CA:TRUE にします。出力が CA:FALSE の場合には、証明書は有効な CA ではありません。

3. 以下の cURL コマンドを使用して、各証明書ファイルを検証します。以下に例を示します。

   $ curl -v https://<secure-sso-host>/auth/realms/master --cacert customCA1.pem

   <secure-sso-host> は、single sign-on ホストの完全修飾ドメイン名に置き換えます。

   single sign-on レルムの JSON 設定が返されるはずです。検証に失敗した場合は、証明書が正しくない可能性があります。

4. zync-que Pod 上の /etc/pki/tls/cert.pem ファイルの既存コンテンツを収集します。

   $ oc exec <zync-que-pod-id> -- cat /etc/pki/tls/cert.pem > zync.pem

5. 以下のように、各カスタム CA 証明書ファイルの内容を zync.pem に追加します。

   $ cat customCA1.pem customCA2.pem ... >> zync.pem

6. 新規ファイルを configmap オブジェクトとして zync-que Pod に割り当てます。

   $ oc create configmap zync-ca-bundle --from-file=./zync.pem
   
   $ oc set volume deployment/zync-que --add --name=zync-ca-bundle --mount-path /etc/pki/tls/zync/zync.pem --sub-path zync.pem --source='{"configMap":{"name":"zync-ca-bundle","items":[{"key":"zync.pem","path":"zync.pem"}]}}'

   これで、証明書バンドルの zync-que Pod への追加が完了しました。

7. 証明書が追加され、コンテンツが正しいことを確認します。

   $ oc exec <zync-que-pod-id> -- cat /etc/pki/tls/zync/zync.pem

8. 新たな CA 証明書のバンドルをポイントするように、Zync の SSL_CERT_FILE 環境変数を設定します。

   $ oc set env deployment/zync-que SSL_CERT_FILE=/etc/pki/tls/zync/zync.pem

手順

1. SSO コンソールで、3scale クライアントの レルムを作成 するか、3scale クライアントを含める既存のレルムを選択します。
2. 左側のナビゲーションパネルで、新しいレルムまたは選択したレルムの Clients をクリックします。
3. Create をクリックして新規クライアントを作成します。
4. Client ID フィールドに、このクライアントを 3scale クライアントとして識別するのに役立つ名前 (oidc-issuer-for-3scale など) を指定します。
5. Client Protocol フィールドを openid-connect に設定します。
6. 新しいクライアントを保存します。

7. 新しいクライアントの設定で、次のように設定します。

   • Access Type を Confidential に設定します。
   • Standard Flow Enabled を OFF に設定します。
   • Direct Access Grants Enabled を OFF に設定します。

   • Service Accounts Enabled を ON に設定します。この設定により、このクライアントはサービスアカウントを発行できます。

     1. Save をクリックします。

8. クライアントのサービスアカウントロールを設定します。

   1. クライアントの Service Account Roles タブに移動します。
   2. Client Roles ドロップダウンリストで、realm-management をクリックします。
   3. Available Roles ペインで manage-clients を選択し、Add selected >> をクリックしてロールを割り当てます。

9. クライアントのクレデンシャルを書き留めます。

   1. クライアント ID (<client_id>) を書き留めます。
   2. クライアントの Credentials タブに移動し、Secret フィールド (<client_secret>) の値を書き留めます。

10. 承認フローのテストを容易にするには、レルムにユーザーを追加します。

    1. ウィンドウの左側にある Users をデプロイメントします。
    2. Add user をクリックします。
    3. ユーザー名を入力し、Email Verified を ON に設定し、Save をクリックします。
    4. Credentials タブでパスワードを設定します。両方のフィールドにパスワードを入力し、Temporary スイッチを OFF に設定して次回ログイン時のパスワードリセットを回避します。続いて Set password をクリックします。
    5. ポップアップウィンドウが表示されたら、Set password をクリックします。

手順

1. 3scale 管理ポータルでの最上位のセレクターで Products をクリックし、OpenID Connect 認証を有効にする 3scale API プロダクトを選択します。
2. [Your_product_name] > Integration > Settings の順に移動します。

3. Authentication で、OpenID Connect Use OpenID Connect for any OAuth 2.0 flow を選択します。

   図13.3 OPENID CONNECT(OIDC)BASICS セクションを表示します。

   
4. OpenID Connect Issuer Type フィールドで、設定が Red Hat Single Sign-On であることを確認します。

5. OpenID Connect Issuer フィールドに、設定された OpenID Connect アイデンティティープロバイダーの URL を入力します。この URL の形式は以下のようになります。

   https://<client_id>:<client_secret>@<rhsso_host>:<rhsso_port>/auth/realms/<realm_name>

6. プレースホルダーは、以前に書き留めた Red Hat Single Sign-On クライアント認証情報、Red Hat Single Sign-On サーバーのホストとポート、および Red Hat Single Sign-On クライアントが含まれるレルムの名前に置き換えます。

   注記

   2 つの異なる製品で同じ認証情報を使用するには、製品ごとに一意の OIDC 発行者を設定するか、同じ発行者で異なるレルムを設定する必要があります。認証情報は client_id と client_secret を意味することに注意してください。両方とも、2 つの異なる製品間で同じである必要があります。異なる client_secret を持つ 2 つの異なる製品間で同じ client_id を持つことはできません。あるいは、アプリケーションを 2 つの異なる製品に分割して、認証に同じレルムで同じ OIDC プロバイダーを使用することもできます。方法は、手順 5 と 6 を参照してください。

7. OIDC AUTHORIZATION FLOW で、以下から 1 つ、または複数選択します。

   • 認可コードフロー

     Red Hat Single Sign-On では、これは標準フローです。

   • インプリシットフロー

   • サービスアカウントフロー

     クライアントクレデンシャルフローとも呼ばれます。

   • 直接アクセスグラントフロー

     リソースオーナーパスワードクレデンシャルとも呼ばれます。

     図13.4 承認フローを選択する場所を示します。

     

     これにより、API コンシューマーが OpenID Connect アイデンティティープロバイダーから JSON Web Tokens (JWT) を取得する方法が設定されます。3scale が OpenID Connect アイデンティティープロバイダーとして Red Hat Single Sign-On を統合する際に、Zync は 認可コードフロー のみが有効になっている Red Hat Single Sign-On クライアントを作成します。このフローは、ほとんどすべてのケースについて最もセキュアで適切なフローとして推奨されます。OpenID Connect アイデンティティープロバイダーがサポートする OAuth 2.0 フロー を必ず選択してください。

8. 下方向にスクロールして Update Product をクリックし、設定を保存します。
9. 左側のナビゲーションパネルで Integration > Configuration をクリックします。
10. 下にスクロールして Promote v.x to APIcast Staging をクリックします。