18.4. アイデンティティープロバイダーの設定

手順

1. Okta ポータルで、メニューバーから Applications を選択します。
2. Add Application をクリックし、Create New App を選択します。
3. Create a New Application Integration ダイアログボックスで、プラットフォームを Web のままにし、ユーザーにサインインするプロトコルに SAML 2.0 を選択します。
4. Create をクリックします。
5. General Settings ページで、App name フィールドにアプリの名前を入力します。
6. Next をクリックします。

7. SAML Settings ページで、次のフィールドに値を設定します。

   1. Single Sign-On URL

      • https://<RHACS_portal_hostname>/sso/providers/saml/acs を指定します。
      • Use this for Recipient URL and Destination URL オプションをオンのままにします。
      • RHACS ポータルにさまざまな URL でアクセスできる場合は、Allow this app to request other SSO URLs オプションをオンにして、指定した形式を使用して代替 URL を追加することでそれらを追加できます。

   2. Audience URI (SP Entity ID)

      • 値を RHACS または任意の別の値に設定します。
      • 選択した値を覚えておいてください。Red Hat Advanced Cluster Security for Kubernetes を設定するときに、この値が必要になります。

   3. Attribute Statements

      • 少なくとも 1 つの属性ステートメントを追加する必要があります。

      • Red Hat は、email 属性の使用を推奨します。

        • Name: email
        • Format: 指定なし
        • Value: user.email
8. 続行する前に、少なくとも 1 つの Attribute Statement が設定されていることを確認してください。
9. Next をクリックします。
10. Feedback ページで、該当するオプションを選択します。
11. 適切な App type を選択します。
12. Finish をクリックします。

手順

1. RHACS ポータルで、Platform Configuration Access Control に移動します。
2. Create auth provider をクリックし、ドロップダウンリストから SAML 2.0 を選択します。
3. Name フィールドに、この認証プロバイダーを識別する名前を入力します。たとえば、Okta や Google などです。統合名は、ユーザーが適切なサインインオプションを選択できるように、ログインページに表示されます。
4. ServiceProvider issuer フィールドに、Okta で Audience URI または SP Entity ID として使用している値、または他のプロバイダーで同様の値を入力します。

5. Configuration のタイプを選択します。

   • Option 1: Dynamic Configuration: このオプションを選択した場合は、IdP Metadata URL を入力するか、ID プロバイダーコンソールから利用可能な Identity Provider metadata の URL を入力します。設定値は URL から取得します。

   • Option 2: Static Configuration: Okta コンソールの View Setup Instructions リンクから必要な静的フィールドをコピーするか、他のプロバイダーの場合は同様の場所にコピーします。

     • IdP 発行者
     • IdP SSO URL
     • 名前 ID 形式
     • IdP 証明書 (PEM)

6. SAML を使用して RHACS にアクセスするユーザーに 最小アクセスロール を割り当てます。

   ヒント

   セットアップの完了時に、最小アクセスルール を 管理者 に設定します。後で、Access Control ページに戻って、ID プロバイダーのユーザーメタデータに基づいて、より調整されたアクセスルールを設定できます。

7. Save をクリックします。

検証

1. RHACS ポータルで、Platform Configuration Access Control に移動します。
2. Auth Providers タブを選択します。
3. 設定を確認する認証プロバイダーをクリックします。
4. Auth Provider セクションのヘッダーから Test login を選択します。新しいブラウザータブで、Test login ページが開きます。

5. 認証情報を使用してログインします。

   • 正常にログインした場合、RHACS は、システムへのログインに使用した資格情報に対して ID プロバイダーが送信した User ID と User Attributes を表示します。
   • ログイン試行が失敗した場合、RHACS は ID プロバイダーの応答を処理できなかった理由を説明するメッセージを表示します。

6. Test login ブラウザータブを閉じます。

   注記

   応答が認証の成功を示している場合でも、ID プロバイダーからのユーザーメタデータに基づいて追加のアクセスルールを作成しないといけない場合があります。

手順

1. 新しい Google Cloud Platform (GCP) プロジェクトを作成します。プロジェクトの作成および管理 に関する Google ドキュメントのトピックをご覧ください。
2. プロジェクトを作成したら、Google API コンソールで Credentials ページを開きます。
3. ロゴの近くの左上隅にリスト表示されているプロジェクト名を確認して、正しいプロジェクトを使用していることを確認します。
4. 新しい認証情報を作成するには、Create Credentials OAuth client ID に移動します。
5. Application type で Web application を選択します。
6. Name ボックスに、アプリケーションの名前 (RHACS など) を入力します。

7. Authorized redirect URIs ボックスに、https://<stackrox_hostname>:<port_number>/sso/providers/oidc/callback と入力します。

   • <stackrox_hostname> を、Central インスタンスを公開するホスト名に置き換えます。
   • <port_number> を、Central を公開するポート番号に置き換えます。標準の HTTPS ポート 443 を使用している場合は、ポート番号を省略できます。
8. Create をクリックします。これにより、アプリケーションと認証情報が作成され、認証情報ページにリダイレクトされます。
9. 情報ボックスが開き、新しく作成されたアプリケーションの詳細が表示されます。情報ボックスを閉じます。
10. .apps.googleusercontent.com で終わる クライアント ID をコピーして保存します。このクライアント ID は、Google API コンソールを使用して確認できます。

11. 左側のナビゲーションメニューから OAuth consent screen を選択します。

    注記

    OAuth 同意画面の設定は、前の手順で作成したアプリケーションだけでなく、GCP プロジェクト全体で有効です。このプロジェクトですでに OAuth 同意画面が設定されていて、Red Hat Advanced Cluster Security for Kubernetes ログインに別の設定を適用する場合は、新しい GCP プロジェクトを作成します。

12. OAuth 同意画面ページで、以下を行います。

    1. Application type に Internal を選択します。Public を選択すると、Google アカウントを持っている人なら誰でもログインできます。
    2. わかりやすい アプリケーション名 を入力します。この名前は、ユーザーがサインインするときに同意画面に表示されます。たとえば、RHACS または <organization_name> SSO for Red Hat Advanced Cluster Security for Kubernetes を使用します。
    3. Scopes for Google APIs に、email、profile、openid スコープのみがリストされていることを確認します。シングルサインオンには、これらのスコープのみが必要です。追加のスコープを付与すると、機密データが公開されるリスクが高まります。

手順

1. RHACS ポータルで、Platform Configuration Access Control に移動します。
2. Create auth provider をクリックし、ドロップダウンリストから OpenID Connect を選択します。

3. 以下のフィールドに情報を入力します。

   • Name: 認証プロバイダーを識別する名前。たとえば、Google Workspace です。統合名は、ユーザーが適切なサインインオプションを選択できるように、ログインページに表示されます。

   • Callback mode: ID プロバイダーが別のモードを必要としない限り、デフォルト値である Auto-select (recommended) を選択します。

     注記

     Fragment モードは、シングルページアプリケーション (SPA) の制限を考慮して設計されています。Red Hat は、初期の統合の Fragment モードのみをサポートしています。最近の統合でこのモードを使用することは推奨していません。

   • Issuer: ID プロバイダーのルート URL。たとえば、Google Workspace の場合は https://accounts.google.com です。詳細は、ID プロバイダーのドキュメントを参照してください。

     注記

     RHACS バージョン 3.0.49 以降を使用している場合は、Issuer に対して次のアクションを実行できます。

     • ルート URL の前に https+insecure:// を付けて、TLS 検証を飛ばします。この設定はセキュアでなく、Red Hat は推奨していません。テスト目的でのみ使用してください。
     • ルート URL とともに ?key1=value1&key2=value2 などのクエリー文字列を指定します。RHACS は、入力したとおりに Issuer の値を認証エンドポイントに追加します。これを使用して、プロバイダーのログイン画面をカスタマイズできます。たとえば、hd パラメーター を使用して Google Workspace のログイン画面を特定のホストドメインに最適化したり、pfidpadapterid パラメーターを使用して PingFederate で認証方法を事前に選択したりできます。
   • クライアント ID: 設定されたプロジェクトの OIDC クライアント ID。
   • Client Secret: ID プロバイダー (IdP) から提供されたクライアントシークレットを入力します。推奨されていないクライアントシークレットを使用していない場合は、Do not use Client Secret を選択します。

4. 選択した ID プロバイダーを使用して RHACS にアクセスするユーザーに 最小アクセスロール を割り当てます。

   ヒント

   セットアップの完了時に、最小アクセスルール を 管理者 に設定します。後で、Access Control ページに戻って、ID プロバイダーのユーザーメタデータに基づいて、より調整されたアクセスルールを設定できます。

5. RHACS にアクセスするユーザーとグループのアクセスルールを追加するには、Rules セクションで Add new rule をクリックします。たとえば、administrator と呼ばれるユーザーに Admin のロールを与える場合は、次のキーと値のペアを使用してアクセスルールを作成できます。

   キー	値
   名前	管理者 (administrator)
   Role	Admin

6. Save をクリックします。

検証

1. RHACS ポータルで、Platform Configuration Access Control に移動します。
2. Auth providers タブを選択します。
3. 設定を確認する認証プロバイダーを選択します。
4. Auth Provider セクションのヘッダーから Test login を選択します。新しいブラウザータブで、Test login ページが開きます。

5. クレデンシャルを使用してログインします。

   • 正常にログインした場合、RHACS は、システムへのログインに使用した資格情報に対して ID プロバイダーが送信した User ID と User Attributes を表示します。
   • ログイン試行が失敗した場合、RHACS は ID プロバイダーの応答を処理できなかった理由を説明するメッセージを表示します。
6. Test Login ブラウザータブを閉じます。

手順

1. RHACS ポータルで、Platform Configuration Access Control に移動します。
2. Create auth provider をクリックし、ドロップダウンリストから OpenShift Auth を選択します。
3. Name フィールドに認証プロバイダーの名前を入力します。

4. 選択した ID プロバイダーを使用して RHACS にアクセスするユーザーに Minimum access role を割り当てます。ユーザーは、RHACS にログインするために、このロールに付与された権限、またはより高い権限を持つロールを持っている必要があります。

   ヒント

   セキュリティーのために、セットアップを実行する際には、最初に Minimum access role を None に設定することを推奨します。後で、Access Control ページに戻って、ID プロバイダーのユーザーメタデータに基づいて、より調整されたアクセスルールを設定できます。

5. オプション: RHACS にアクセスするユーザーとグループのアクセスルールを追加するには、Rules セクションで Add new rule をクリックし、ルール情報を入力して Save をクリックします。アクセスを設定するには、ユーザーまたはグループの属性が必要です。

   ヒント

   グループは通常、チームまたはアクセス許可セットに関連付けられており、ユーザーよりも頻繁に変更する必要がないため、グループマッピングはより堅牢です。

   OpenShift Container Platform でユーザー情報を取得するには、以下のいずれかの方法を使用できます。

   • User Management Users <username> YAML をクリックします。
   • k8s/cluster/user.openshift.io~v1~User/<username>/yaml ファイルにアクセスし、name、uid (RHACS のuserid)、および groups の値を書き留めます。
   • OpenShift Container Platform API リファレンス で説明されているように、OpenShift Container Platform API を使用します。

   次の設定例では、次の属性を持つ Admin ロールのルールを設定する方法を説明します。

   • name: administrator
   • groups: ["system:authenticated", "system:authenticated:oauth", "myAdministratorsGroup"]
   • uid: 12345-00aa-1234-123b-123fcdef1234

   次のいずれかの手順を使用して、この管理者ロールのルールを追加できます。

   • 名前のルールを設定するには、Key ドロップダウンリストから name を選択し、Value フィールドに administrator と入力して、Role で Administrator を選択します。
   • グループのルールを設定するには、Key ドロップダウンリストから groups を選択し、Value フィールドに myAdministratorsGroup と入力して、Role で Admin を選択します。
   • ユーザー名のルールを設定するには、Key ドロップダウンリストから userid を選択し、Value フィールドに 12345-00aa-1234-123b-123fcdef1234 を入力して、Role で Admin を選択します。