第3章 RBAC マッピングの設定

手順

1. ConfigMap オブジェクトにカスタムパーミッションマッピングを定義します。

   パーミッションマッピングが含まれる ConfigMap の例

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: auth-properties
   data:
     auth.properties: |
       TARGET=pods,deployments.apps
       RECORDING=pods,pods/exec
       CERTIFICATE=deployments.apps,pods,cryostats.operator.cryostat.io
       CREDENTIALS=cryostats.operator.cryostat.io

   カスタムパーミッションマッピングを使用するには、ClusterRole が存在し、カスタムパーミッションマッピングにリストされているすべての Red Hat OpenShift オブジェクトのパーミッションが含まれる必要があります。

   必要なルールが含まれる ClusterRole の例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: additional-oauth-client
   rules:
   - apiGroups:
     - operator.cryostat.io
     resources:
     - cryostats
     verbs:
     - create
     - patch
     - delete
     - get
   - apiGroups:
     - ""
     resources:
     - pods
     - pods/exec
     verbs:
     - create
     - patch
     - delete
     - get
   - apiGroups:
     - apps
     resources:
     - deployments
     verbs:
     - create
     - patch
     - delete
     - get

   Red Hat OpenShift Web コンソールで認証情報を入力すると、OAuth サーバーは認証情報と指定されたスコープを使用して API トークンを生成します。

2. Cryostat カスタムリソース (CR) に authProperties 仕様を指定して、マッピングコンテンツを保持する ConfigMap、およびマップされた Red Hat OpenShift リソースの RBAC アクセスを定義する ClusterRole を参照します。

   カスタムパーミッションマッピングを定義する authProperties のある Cryostat CR の例

   apiVersion: operator.cryostat.io/v1beta1
   kind: Cryostat
   metadata:
     name: cryostat-sample
   spec:
     authProperties:
   	configMapName: auth-properties
   	filename: auth.properties
   	clusterRoleName: oauth-cluster-role

   または、Red Hat OpenShift Web コンソールを開き、Cryostat インスタンスを作成し、Authorization Properties オプションで ClusterRole Name、ConfigMap Name、および Filename プロパティーを定義できます。これは、Advanced configuration セクションでアクセスできます。

   図3.1 OpenShift Web コンソールの Advanced configuration セクション

   

検証

1. Installed Operators メニューから、Cryostat インスタンスを選択します。
2. Application URL セクションのリンクをクリックして、ログイン画面にアクセスします。OAuth サーバーは、ユーザーを OpenShift Container Platform ログインページにリダイレクトします。
3. 認証情報の詳細を入力し、ログイン をクリックします。OAuth サーバーを介して初めてログインすると、Web ブラウザーに Authorize Access ページが開きます。
4. Requested Permissions オプションから、クラスターのロール名が Cryostat CR で指定した名前と一致することを確認します。

5. Authorize Access ウィンドウで、必要なチェックボックスを選択します。Cryostat のパフォーマンスを最適化するには、すべてのチェックボックスを選択します。

   図3.2 3 つのパーミッションを一覧表示する Authorize Access ウィンドウ

   

   Authorize Access ウィンドウには、以下のパーミッションが一覧表示されます。

   • user:check-access: 内部 Cryostat アプリケーションリクエストを確認するパーミッションです。パーミッションは、権限を表示する読み取り専用権限を持つユーザーを提供します。
   • role:cryostat-operator-oauth-client:<namespace> は、内部の Cryostat アプリケーション要求を確認するパーミッションです。<namespace> は、CLI からのプロジェクト名または namespace に置き換えます。パーミッションにより、シークレットなどのリソースのエスカレーションへのアクセスを除き、cryostat-operator-oauth-client ロールが指定する操作を完了するためのアクセスをユーザーに提供します。
   • role:<user-define-clusterrole-name>:<namespace>: Cryostat CR 仕様で定義した clusterrole。<namespace> は、CLI からのプロジェクト名または namespace に置き換えます。パーミッション は、シークレットなどのリソースへのアクセスを昇格する場合を除き、additional-oauth-client role で指定する操作を実行するアクセス権をユーザーに割り当てます。

6. 以下のいずれかのオプションを選択します。

   1. 要求したパーミッションのうち、選択した内容で問題がなければ、Allow selected permissions をクリックします。

   2. 要求したパーミッションの選択内容をすべて拒否する場合は、Deny ボタンをクリックします。

      Web ブラウザーによって Cryostat Web コンソールにリダイレクトされます。このコンソールでは、Java 仮想マシン (JVM) で実行されている Java アプリケーションを監視できます。