4.5. OpenID Connect (OIDC) プロトコルを使用した Ceph Dashboard SSO

手順

1. mgmt-gateway サービスをデプロイします。

   構文

   ceph orch apply mgmt-gateway [--placement=DESTINATION_HOST] [--enable-auth=true]

   Copy to Clipboard Toggle word wrap

   注記

   oauth2-proxy で SSO を有効にするには、--enable-auth=true パラメーターが必須です。

   例

   [ceph: root@host01 /]# ceph orch apply mgmt-gateway --placement=host01

   Copy to Clipboard Toggle word wrap

2. サービスが正しくデプロイされたことを確認します。

手順

1. mgmt-gateway サービス用の YAML ファイルを作成します。

   例

   [root@host01 ~]# touch mgmt-gateway.yaml

   Copy to Clipboard Toggle word wrap

2. YAML ファイルを編集して、次の詳細を追加します。

   重要

   次のフィールドはオプションです: ssl_protocols、ssl_ciphers、および ssl_certificate。省略すると、mgmt-gateway サービスは安全でセキュアな設定を使用します。これらのフィールドを変更することは許可されていますが、システムのセキュリティーが侵害される可能性があるため、注意して行う必要があります。

   構文

   service_type: mgmt-gateway
   placement:
     hosts:
       - ceph-node-1
   spec:
    port: 9443
    ssl_protocols:   # Optional
      - TLSv1.3
    ssl_ciphers:     # Optional
      - AES128-SHA
      - AES256-SHA
      - RC4-SHA
    ssl_cert: |   # Optional
      -----BEGIN CERTIFICATE-----
      < YOU CERT DATA HERE >
      -----END CERTIFICATE-----
    ssl_key: |
     -----BEGIN RSA PRIVATE KEY-----
      < YOU PRIV KEY DATA HERE >
     -----END RSA PRIVATE KEY-----

   Copy to Clipboard Toggle word wrap

   重要

   TLSv1.3 SSL プロトコルを使用します。TLSv1.3 には、デフォルトで安全な暗号のセットが含まれています。TLSv1.2 はサポートされていますが、このプロトコルを使用する場合は、安全な暗号のサブセットのみを使用することが重要です。弱い暗号や古い暗号を使用すると、システムのセキュリティーが著しく損なわれる可能性があります。

   例

   service_type: mgmt-gateway
   service_id: gateway
   placement:
     hosts:
       - ceph0
   spec:
    port: 5000
    ssl_protocols:
      - TLSv1.3
      - ...
    ssl_ciphers:
      - AES128-SHA
      - AES256-SHA
      - ...
    ssl_cert: |
      -----BEGIN CERTIFICATE-----
      MIIDtTCCAp2gAwIBAgIYMC4xNzc1NDQxNjEzMzc2MjMyXzxvQ7EcMA0GCSqGSIb3
      DQEBCwUAMG0xCzAJBgNVBAYTAlVTMQ0wCwYDVQQIDARVdGFoMRcwFQYDVQQHDA5T
      [...]
      -----END CERTIFICATE-----
   ssl_key: |
      -----BEGIN PRIVATE KEY-----
      MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQC5jdYbjtNTAKW4
      /CwQr/7wOiLGzVxChn3mmCIF3DwbL/qvTFTX2d8bDf6LjGwLYloXHscRfxszX/4h
      [...]
      -----END PRIVATE KEY-----

   Copy to Clipboard Toggle word wrap

   次の表は、仕様ファイル (ceph.deployment.service_spec.MgmtGatewaySpec) の mgmt-gateway サービスセクションに固有のフィールドを示しています。

   Expand

   表4.1 仕様ファイル内の mgmt-gateway 固有のフィールド

   フィールド	説明
   disable_https	HTTPS を無効にするフラグです。True の場合、サーバーは安全でない HTTP を使用します。
   enable_auth	SSO auth を有効にするフラグです。SSO 認証には oauth2-proxy がアクティブである必要があります。
   networks	デーモンにそのリスト内の特定のネットワークにのみバインドするように指示するネットワークアイデンティティーのリスト。クラスターが複数のネットワークに分散されている場合は、複数のネットワークを追加できます。
   placement	オーケストレーターがサービスをデプロイするには、デーモンをどこにデプロイするか、またいくつデプロイするかを知る必要があります。これは配置仕様のロールです。配置仕様は、コマンドライン引数として渡すことも、YAML ファイルで渡すこともできます。詳細は、Ceph Orchestrator を使用したサービスの管理 を参照してください。
   ポート	サーバーがリッスンするポート番号。
   server_tokens	応答内のフラグ制御サーバートークン: on、off、build、string。
   ssl_cert	SSL 証明書を含む複数行の文字列。
   ssl_key	SSL キーを含む複数行の文字列。
   ssl_ciphers	サポートされている安全な SSL 暗号のリスト。このリストを変更すると、システムのセキュリティーが低下する可能性があります。
   ssl_prefer_server_ciphers	クライアント暗号よりもサーバー暗号を優先する: on、off。
   ssl_protocols	サポートされている SSL プロトコルのリスト (nginx でサポートされているもの)。
   ssl_session_cache	SSL/TLS セッションがキャッシュされる期間: off、none、[builtin[:size]]、[shared:name:size]。
   ssl_session_tickets	セッションチケットを制御するための複数オプションフラグ: on、off。
   ssl_session_timeout	SSL セッションタイムアウトの期間。構文: 時間 (例: 5m)。
   ssl_stapling	SSL ステープルを有効または無効にするフラグ: on、off。
   ssl_stapling_verify	SSL ステープルの検証を制御するフラグ: on、off。

   Show more

3. 仕様ファイルを適用します。

   構文

   [root@host01 ~]# ceph orch apply -i mgmt-gateway.yaml

   Copy to Clipboard Toggle word wrap

手順

1. IBM Storage Ceph がインストールされているシステムに Red Hat Single Sign-On 7.6.0 Server をダウンロードします。ダウンロードパッケージと情報は、Red Hat カスタマーポータル の Red Hat Single Sign-On 7.6.0 Server の ソフトウェア詳細 を参照してください。

2. フォルダーを展開します。

   構文

   [root@host01 ~]# unzip rhsso-7.6.0.zip

   Copy to Clipboard Toggle word wrap

3. 新しく作成された rhsso-7.6.0 ディレクトリーの下の standalone/configuration ディレクトリーに移動し、standalone.xml ファイルを開いて編集します。

   構文

   [root@host01 ~]# cd standalone/configuration
   [root@host01 configuration]# vi standalone.xml

   Copy to Clipboard Toggle word wrap

4. localhost と 127.0.0.1 を、Red Hat Single-Sign On がインストールされているサーバーの IP アドレスに置き換えます。

5. 新しく作成された rhsso-7.6.0 フォルダーの bin ディレクトリーから、add-user-keycloak スクリプトを実行して初期管理者ユーザーを追加します。

   構文

   [root@host01 bin]# ./add-user-keycloak.sh -u admin

   Copy to Clipboard Toggle word wrap

6. オプション: Red Hat Enterprise Linux 8 以降を使用しているユーザーは、認証局 (CA) の問題が発生する可能性があります。CA からカスタム証明書をインポートして、正確な Java バージョンを使用するキーストアに移動します。

   構文

   keytool -import -noprompt -trustcacerts -alias ca -file ../ca.cer -keystore /etc/java/java-1.8.0-openjdk/java-1.8.0-openjdk-1.8.0.272.b10-3.el8_3.x86_64/lib/security/cacert

   Copy to Clipboard Toggle word wrap

7. サービスを起動します。rh-sso-7.6 フォルダーの bin ディレクトリーから、standalone ブートスクリプトを実行します。

   [root@host01 bin]# ./standalone.sh

   Copy to Clipboard Toggle word wrap

8. 作成した新しいユーザー名とパスワードを使用して、https:IP_ADDRESS:8080/auth の管理者アカウントにログインします。

   注記

   管理者アカウントは、コンソールへの初回ログイン時に作成にのみ作成する必要があります。