認証

手順

1. Keycloak で、RHDH などの新しいレルムを作成します。

2. 新しいユーザーを追加します。

   ユーザー名

   ユーザーのユーザー名。例: rhdhuser

   メール

   ユーザーのメールアドレス。

   名

   ユーザーの名。

   姓

   ユーザーの姓。

   メールの確認

   On に切り替えます。

3. Create をクリックします。
4. Credentials タブに移動します。
5. Set password をクリックします。
6. ユーザーアカウントの Password を入力し、Temporary を Off に切り替えます。

7. 新しいクライアント ID (例: RHDH) を作成します。

   クライアント認証

   On に切り替えます。

   有効なリダイレクト URI

   OIDC ハンドラー URL に設定します (例: https://<RHDH_URL>/api/auth/oidc/handler/frame)。

8. Credentials タブに移動し、Client secret をコピーします。
9. 次のステップのために、クライアント ID とクライアントシークレットを保存します。

10. Developer Hub で、Developer Hub シークレットに Keycloak 認証情報を追加します。

    1. secrets-rhdh などの Developer Hub シークレットを編集します。

    2. 以下のキーと値のペアを追加します。

       AUTH_KEYCLOAK_CLIENT_ID

       Keycloak で生成したクライアント ID (RHDH など) を入力します。

       AUTH_KEYCLOAK_CLIENT_SECRET

       Keycloak で生成したクライアントシークレットを入力します。

11. Developer Hub のカスタム設定で OIDC 認証プロバイダーを設定します。

    1. app-config-rhdh などのカスタム Developer Hub ConfigMap を編集します。

    2. app-config-rhdh.yaml コンテンツで、ルート auth 設定の下に oidc プロバイダー設定を追加し、サインイン用に oidc プロバイダーを有効にします。

       app-config-rhdh.yaml の一部

       auth:
         environment: production
         providers:
           oidc:
             production:
             clientId: ${AUTH_KEYCLOAK_CLIENT_ID}
             clientSecret: ${AUTH_KEYCLOAK_CLIENT_SECRET}
             metadataUrl: ${KEYCLOAK_BASE_URL}/auth/realms/${KEYCLOAK_REALM}
             prompt: ${KEYCLOAK_PROMPT} # recommended to use auto
              Uncomment for additional configuration options #callbackUrl: ${KEYCLOAK_CALLBACK_URL} #tokenEndpointAuthMethod: ${KEYCLOAK_TOKEN_ENDPOINT_METHOD} #tokenSignedResponseAlg: ${KEYCLOAK_SIGNED_RESPONSE_ALG} #scope: ${KEYCLOAK_SCOPE}  If you are using the keycloak-backend plugin, use the preferredUsernameMatchingUserEntityName resolver to avoid a login error.
             signIn:
               resolvers:
                 - resolver: preferredUsernameMatchingUserEntityName
       signInPage: oidc

検証

1. backstage-developer-hub アプリケーションを再起動して変更を適用します。
2. Developer Hub のサインインページに、Sign in using OIDC と表示されます。

手順

1. Keycloak で、有効なリダイレクト URI を https://<rhdh_url>/api/auth/oidc/handler/frame に更新します。<rhdh_url> は、my.rhdh.example.com などの Developer Hub アプリケーションの URL に置き換えてください。
2. app-config.yaml ファイルの auth セクションにある oauth2Proxy 設定値を oidc 設定値に置き換えます。

3. signInPage 設定値を oauth2Proxy から oidc に更新します。

   次の例は、認証プロバイダーを oidc に移行する前の oauth2Proxy の auth.providers および signInPage 設定を示しています。

   auth:
     environment: production
     session:
       secret: ${SESSION_SECRET}
     providers:
       oauth2Proxy: {}
   signInPage: oauth2Proxy

   次の例は、認証プロバイダーを oidc に移行した後の auth.providers および signInPage 設定を示しています。

   auth:
     environment: production
     session:
       secret: ${SESSION_SECRET}
     providers:
       oidc:
         production:
           metadataUrl: ${KEYCLOAK_METADATA_URL}
           clientId: ${KEYCLOAK_CLIENT_ID}
           clientSecret: ${KEYCLOAK_CLIENT_SECRET}
           prompt: ${KEYCLOAK_PROMPT} # recommended to use auto
   signInPage: oidc

4. OAuth2 プロキシーサイドカーコンテナーを削除し、Helm チャートの values.yaml ファイルの upstream.service セクションを次のように更新します。

   • service.ports.backend: 7007

   • service.ports.targetPort: backend

     次の例は、認証プロバイダーを oidc に移行する前の oauth2Proxy の service 設定を示しています。

     service:
       ports:
         name: http-backend
         backend: 4180
         targetPort: oauth2Proxy

     次の例は、認証プロバイダーを oidc に移行した後の service 設定を示しています。

     service:
       ports:
         name: http-backend
         backend: 7007
         targetPort: backend

5. Developer Hub Helm チャートをアップグレードします。