2.11. ダッシュボードでシングルサインオンを使用する

手順

1. Red Hat Ceph ストレージがインストールされているシステムに Red Hat Single Sign-On 7.4.0 サーバー をダウンロードします。

2. フォルダーをデプロイメントします。

   [root@host01 ~]# unzip rhsso-7.4.0.zip

3. standalone/configuration ディレクトリーに移動し、standalone.xml を開いて編集します。

   [root@host01 ~]# cd standalone/configuration
   [root@host01 configuration]# vi standalone.xml

4. 新しく作成された rhsso-7.4.0 フォルダーの bin ディレクトリーから、add-user-keycloak スクリプトを実行して初期管理者ユーザーを追加します。

   [root@host01 bin]# ./add-user-keycloak.sh -u admin

5. localhost のすべてのインスタンスと 127.0.0.1 の 2 つのインスタンスは、Red Hat SSO がインストールされているマシンの IP アドレスに置き換えます。

6. サービスを起動します。rh-sso-7.4 フォルダーの bin ディレクトリーから、standalone ブートスクリプトを実行します。

   [root@host01 bin]# ./standalone.sh

7. ユーザー名とパスワードを指定して、https: IP_ADDRESS :8080/auth で管理アカウントを作成します。

   注記

   管理者アカウントは、コンソールへの初回ログイン時に作成にのみ作成する必要があります。

8. 作成された認証情報を使用して管理コンソールにログインします。

手順

1. レルムを作成するには、Master ドロップダウンメニューをクリックします。このレルムでは、ユーザーおよびアプリケーションにアクセスできます。

2. Add Realm ウィンドウで、レルム名 (大文字と小文字を区別) を入力し、パラメーターを Enabled に設定し、Create をクリックします。

   

3. Realm Settings タブで、次のパラメーターを設定し、Save をクリックします。

   1. Enabled - ON
   2. User-Managed Access - ON

   3. Client Settings に貼り付ける SAML 2.0 アイデンティティープロバイダーメタデータのリンクアドレスをメモしておきます。

      

4. Clients タブで、Create をクリックします。

   

5. Add Client ウィンドウで、次のパラメーターを設定し、Save をクリックします。

   1. クライアント ID - BASE_URL:8443/auth/saml2/metadata

      例

      https://example.ceph.redhat.com:8443/auth/saml2/metadata

   2. クライアントプロトコル - saml

6. Client ウィンドウの Settings タブで、次のパラメーターを設定します。

   表2.2 クライアント設定タブ

   パラメーターの名前	構文	例
   クライアント ID	BASE_URL:8443/auth/saml2/metadata	https://example.ceph.redhat.com:8443/auth/saml2/metadata
   Enabled	ON	ON
   クライアントプロトコル	saml	saml
   Include AuthnStatement	ON	ON
   サインインドキュメント	ON	ON
   Signature Algorithm	RSA_SHA1	RSA_SHA1
   SAML Signature Key Name	KEY_ID	KEY_ID
   有効なリダイレクト URL	BASE_URL:8443/*	https://example.ceph.redhat.com:8443/*
   ベース URL	BASE_URL:8443	https://example.ceph.redhat.com:8443/
   Master SAML Processing URL	https://localhost:8080/auth/realms/REALM_NAME/protocol/saml/descriptor	https://localhost:8080/auth/realms/Ceph_LDAP/protocol/saml/descriptor

   注記

   Realm Settings タブから SAML 2.0 アイデンティティープロバイダーメタデータのリンクを貼り付けます。

   Fine Grain SAML Endpoint Configuration で、次のパラメーターを設定し、Save をクリックします。

   表2.3 詳細にわたる SAML 設定

   パラメーターの名前	構文	例
   Assertion Consumer Service POST Binding URL	BASE_URL:8443/#/dashboard	https://example.ceph.redhat.com:8443/#/dashboard
   Assertion Consumer Service Redirect Binding URL	BASE_URL:8443/#/dashboard	https://example.ceph.redhat.com:8443/#/dashboard
   Logout Service Redirect Binding URL	BASE_URL:8443/	https://example.ceph.redhat.com:8443/

7. Clients ウィンドウの Mappers タブで、次のパラメーターを設定し、Save をクリックします。

   表2.4 クライアントマッパータブ

   パラメーターの名前	値
   プロトコル	saml
   名前	username
   マッパープロパティー	ユーザープロパティー
   プロパティー	username
   SAML 属性名	username

8. Clients Scope タブで、role_list を選択します。

   1. Mappers タブで、role list を選択し、Single Role Attribute をオンに設定します。

9. User_Federation タブを選択します。

   1. User Federation ウィンドウで、ドロップダウンメニューから LDAP を選択します。

   2. User_Federation ウィンドウの Settings タブで、次のパラメーターを設定し、Save をクリックします。

      表2.5 ユーザーフェデレーション設定タブ

      パラメーターの名前	値
      コンソール表示名	rh-ldap
      ユーザーのインポート	ON
      Edit_Mode	READ_ONLY
      ユーザー名 LDAP 属性	username
      RDN LDAP 属性	username
      UUID LDAP 属性	nsuniqueid
      ユーザーオブジェクトクラス	inetOrgPerson, organizationalPerson, rhatPerson
      接続 URL	例: ldap: //ldap.corp.redhat.com。Test Connection をクリックします。LDAP 接続が成功したという通知が表示されます。
      ユーザー DN	ou=users、dc=example、dc=com
      バインドタイプ	simple

      Test authentication をクリックします。LDAP 認証が成功したという通知が表示されます。

   3. Mappers タブで、first name の行を選択して、以下のパラメーターを編集し、Save をクリックします。

      • LDAP 属性 - givenName

   4. User_Federation タブの Settings タブで、Synchronize all users をクリックします。

      

      ユーザーの同期が正常に終了したという通知が表示されます。

10. Users タブで、ダッシュボードに追加されたユーザーを検索し、検索アイコンをクリックします。

    

11. ユーザーを表示するには、特定の行をクリックします。フェデレーションリンクは、User Federation で指定した名前で表示されます。

    
    重要

    ユーザーは LDAP では同期されないため、手動でユーザーを追加しないでください。手動で追加した場合は、Delete をクリックしてユーザーを削除します。

    注記

    現在、作業環境内で Red Hat SSO を使用している場合は、まず SSO を有効にします。詳細は、Red Hat Ceph Storage Dashboard ガイド の Ceph Dashboard で SAMLE 2.0 を使用した Single Sign-On の有効化 セクションを参照してください。

手順

1. Ceph Dashboard で SSO を設定するには、以下のコマンドを実行します。

   構文

   cephadm shell CEPH_MGR_HOST ceph dashboard sso setup saml2 CEPH_DASHBOARD_BASE_URL IDP_METADATA IDP_USERNAME_ATTRIBUTE IDP_ENTITY_ID SP_X_509_CERT SP_PRIVATE_KEY

   例

   [root@host01 ~]# cephadm shell host01 ceph dashboard sso setup saml2 https://dashboard_hostname.ceph.redhat.com:8443 idp-metadata.xml username https://10.70.59.125:8080/auth/realms/realm_name /home/certificate.txt /home/private-key.txt

   置き換え

   • CEPH_MGR_HOST と Ceph mgr ホスト。(例: host01)
   • CEPH_DASHBOARD_BASE_URL は、Ceph Dashboard がアクセス可能なベース URL に置き換えます。
   • IDP_METADATA は、リモートパスまたはローカルパス、または IdP メタデータ XML の内容への URL に置き換えます。サポートされる URL タイプは http、https、およびファイルです。
   • 任意: IDP_USERNAME_ATTRIBUTE は、認証応答からユーザー名を取得するために使用される属性に置き換えます。デフォルトは uid です。
   • 任意: IDP_ENTITY_ID は、IdP メタデータに複数のエンティティー ID が存在する場合は IdP エンティティー ID に置き換えます。
   • 任意: SP_X_509_CERT は、署名および暗号化に Ceph Dashboard によって使用される証明書のファイルパスに置き換えます。
   • 任意: SP_PRIVATE_KEY は、署名および暗号化に Ceph Dashboard によって使用される秘密鍵のファイルパスに置き換えます。

2. 現在の SAML 2.0 設定を確認します。

   構文

   cephadm shell CEPH_MGR_HOST ceph dashboard sso show saml2

   例

   [root@host01 ~]#  cephadm shell host01 ceph dashboard sso show saml2

3. SSO を有効にするには、以下のコマンドを実行します。

   構文

   cephadm shell CEPH_MGR_HOST ceph dashboard sso enable saml2
   SSO is "enabled" with "SAML2" protocol.

   例

   [root@host01 ~]#  cephadm shell host01 ceph dashboard sso enable saml2

4. ダッシュボードの URL を開きます。

   例

   https://dashboard_hostname.ceph.redhat.com:8443

5. SSO ページで、ログインの認証情報を入力します。SSO はダッシュボードの Web インターフェイスにリダイレクトされます。

手順

1. Ceph Dashboard OAuth2 SSO アクセスを有効にします。

   構文

   ceph dashboard sso enable oauth2

   例

   [ceph: root@host01 /]# ceph dashboard sso enable oauth2
   SSO is "enabled" with "oauth2" protocol.

2. 有効なリダイレクト URL を設定します。

   構文

   https://HOST_NAME|IP_ADDRESS/oauth2/callback

   注記

   この URL は、OAuth2 Proxy サービスで設定されているリダイレクト URL と同じである必要があります。

3. 有効なユーザーロールを設定します。

   注記

   管理者ロールの場合、管理者または読み取り専用アクセス権を持つ IDP ユーザーを設定します。

4. ダッシュボードの URL を開きます。

   例

   https://dashboard_hostname.ceph.redhat.com:8443

5. SSO ページで、ログインの認証情報を入力します。SSO はダッシュボードの Web インターフェイスにリダイレクトされます。

手順

1. SSO の状態を表示するには、以下のコマンドを実行します。

   構文

   cephadm shell CEPH_MGR_HOST ceph dashboard sso status

   例

   [root@host01 ~]#  cephadm shell host01 ceph dashboard sso status
   SSO is "enabled" with "SAML2" protocol.

2. SSO を無効にするには、以下のコマンドを実行します。

   構文

   cephadm shell CEPH_MGR_HOST ceph dashboard sso disable
   SSO is "disabled".

   例

   [root@host01 ~]#  cephadm shell host01 ceph dashboard sso disable