Red Hat Developer Hub での認証

検証

1. Developer Hub のログインページに移動します。
2. ゲストユーザーアカウントでログインするには、Guest タイルの Enter をクリックします。
3. Developer Hub の Settings ページでは、プロファイル名は Guest です。
4. Developer Hub の機能を使用できます。

検証

1. Developer Hub のログインページに移動します。
2. ゲストユーザーアカウントでログインするには、Guest タイルの Enter をクリックします。
3. Developer Hub の Settings ページでは、プロファイル名は Guest です。
4. Developer Hub の機能を使用できます。

手順

1. Developer Hub が RHBK で認証できるようにするには、RHBK で手順を完了し、レルムとユーザーを作成 して 最初のアプリケーションを保護 します。

   1. 既存のレルムを使用するか、<my_realm> などの固有の 名前 を持つ レルムを作成 します。次のステップのために値を保存します。

      • RHBK レルムのベース URL (例: <your_rhbk_URL>/realms/<your_realm>)。

   2. RHBK に Developer Hub を登録するには、作成されたレルムで、次の操作を実行して 最初のアプリケーションを保護 します。

      1. クライアント ID: <RHDH> などの固有のクライアント ID。
      2. 有効なリダイレクト URI: OIDC ハンドラー URL https://<RHDH_URL>/api/auth/oidc/handler/frame に設定します。
      3. Credentials タブに移動し、Client secret をコピーします。

      4. 次のステップのために値を保存します。

         • クライアント ID
         • クライアントのシークレット
   3. 検証手順を準備するには、同じレルムで、既存のユーザーの認証情報を取得するか、ユーザーを作成 します。検証手順用にユーザー認証情報を保存します。

2. RHSSO 認証情報を Developer Hub に追加するには、以下のキーと値のペアを Developer Hub シークレット に追加します。

   AUTH_OIDC_CLIENT_ID

   保存した クライアント ID を入力します。

   AUTH_OIDC_CLIENT_SECRET

   保存した クライアントシークレット を入力します。

   AUTH_OIDC_METADATA_URL

   保存した RHBK realm base URL を入力します。

3. Developer Hub のカスタム設定で RHBK 認証プロバイダーをセットアップするには、app-config-rhdh などのカスタム Developer Hub ConfigMap を編集し、app-config.yaml コンテンツに次の行を追加します。

   1. 必須フィールドを設定します。

      RHBK による認証を有効にするための必須フィールドを含む app-config.yaml フラグメント

      auth:
        environment: production
        providers:
          oidc:
            production:
              metadataUrl: ${AUTH_OIDC_METADATA_URL}
              clientId: ${AUTH_OIDC_CLIENT_ID}
              clientSecret: ${AUTH_OIDC_CLIENT_SECRET}
              prompt: auto
      signInPage: oidc

      environment: production

      環境を production としてマークすると、Developer Hub のホームページでゲストログインが非表示になります。

      metadataUrl、clientId、clientSecret

      シークレットを使用して OIDC プロバイダーを設定します。

      sigInPage: oidc

      OIDC プロバイダーをデフォルトのサインインプロバイダーとして有効にします。

      prompt: auto

      アクティブな RHSSO セッションが存在する場合に、アイデンティティープロバイダーが認証情報を要求するか、ログインリダイレクトをバイパスするかを自動的に決定できるようにします。

検証

1. Developer Hub のログインページに移動します。
2. Developer Hub のサインインページには OIDC を使用してサインイン と表示され、ゲストユーザーのサインインは無効になっています。
3. 保存した ユーザー名 と パスワード の値を使用して、OIDC でログインします。

手順

1. backstage-plugin-catalog-backend-module-keycloak-dynamic プラグインを有効 にします。

   dynamic-plugins.yaml ファイルフラグメント

   plugins:
     - package: './dynamic-plugins/dist/backstage-plugin-catalog-backend-module-keycloak-dynamic'
       disabled: false

2. RHBK メンバー検出を有効にするには、カスタムの Developer Hub 設定ファイルである app-config.yaml を編集します。

   必須の keycloakOrg フィールドを含む app-config.yaml フラグメント

   catalog:
     providers:
       keycloakOrg:
         default:
           baseUrl: ${AUTH_OIDC_METADATA_URL}
           clientId: ${AUTH_OIDC_CLIENT_ID}
           clientSecret: ${AUTH_OIDC_CLIENT_SECRET}

   baseUrl

   RHBK による認証を有効にする ときに定義される RHBK サーバー URL。

   clientId

   RHBK での認証を有効にする ときに定義される、RHBK 内の Developer Hub アプリケーションクライアント ID。

   clientSecret

   RHBK での認証を有効にする ときに定義される、RHBK 内の Developer Hub アプリケーションクライアントシークレット。

   オプション: 次のオプションフィールドを追加することを検討してください。

   realm

   同期するレルムデフォルト値は master です。

   オプションの realm フィールドを含む app-config.yaml フラグメント

   catalog:
     providers:
       keycloakOrg:
         default:
           realm: master

   loginRealm

   認証に使用するレルムデフォルト値は master です。

   オプションの loginRealm フィールドを含む app-config.yaml フラグメント

   catalog:
     providers:
       keycloakOrg:
         default:
           loginRealm: master

   userQuerySize

   同時にクエリーするユーザー数。デフォルト値は 100 です。

   オプションの userQuerySize フィールドを含む app-config.yaml フラグメント

   catalog:
     providers:
       keycloakOrg:
         default:
           userQuerySize: 100

   groupQuerySize

   同時にクエリーするグループの数。デフォルト値は 100 です。

   オプションの groupQuerySize フィールドを含む app-config.yaml フラグメント

   catalog:
     providers:
       keycloakOrg:
         default:
           groupQuerySize: 100

   schedule.frequency

   カスタムスケジュールの頻度を指定します。コード内で使用される cron、ISO 期間、および "人間が判読可能な期間" をサポートします。

   オプションの schedule.frequency フィールドを含む app-config.yaml フラグメント

   catalog:
     providers:
       keycloakOrg:
         default:
           schedule:
             frequency: { hours: 1 }

   schedule.timeout

   カスタムタイムアウトを指定します。コード内で使用される ISO 期間と "人間が判読可能な期間" をサポートします。

   オプションの schedule.timeout フィールドを含む app-config.yaml フラグメント

   catalog:
     providers:
       keycloakOrg:
         default:
           schedule:
             timeout: { minutes: 50 }

   schedule.initialDelay

   カスタム初期遅延を指定します。コード内で使用される ISO 期間と "人間が判読可能な期間" をサポートします。

   オプションの schedule.initialDelay フィールドを含む app-config.yaml フラグメント

   catalog:
     providers:
       keycloakOrg:
         default:
           schedule:
             initialDelay: { seconds: 15}

検証

1. コンソールログをチェックして、同期が完了したことを確認します。

   同期が成功した例:

   {"class":"KeycloakOrgEntityProvider","level":"info","message":"Read 3 Keycloak users and 2 Keycloak groups in 1.5 seconds. Committing...","plugin":"catalog","service":"backstage","taskId":"KeycloakOrgEntityProvider:default:refresh","taskInstanceId":"bf0467ff-8ac4-4702-911c-380270e44dea","timestamp":"2024-09-25 13:58:04"}
   {"class":"KeycloakOrgEntityProvider","level":"info","message":"Committed 3 Keycloak users and 2 Keycloak groups in 0.0 seconds.","plugin":"catalog","service":"backstage","taskId":"KeycloakOrgEntityProvider:default:refresh","taskInstanceId":"bf0467ff-8ac4-4702-911c-380270e44dea","timestamp":"2024-09-25 13:58:04"}

2. RHBK アカウントでログインします。

手順

1. yarn new コマンドで新しいバックエンドモジュールを作成します。

2. カスタムのユーザーおよびグループトランスフォーマーを keycloakTransformerExtensionPoint に追加します。

   以下は、バックエンドモジュールを定義する方法の例です。

   plugins/<module-name>/src/module.ts

   import {
     GroupTransformer,
     keycloakTransformerExtensionPoint,
     UserTransformer,
   } from '@backstage-community/plugin-catalog-backend-module-keycloak';
   
   const customGroupTransformer: GroupTransformer = async (
     entity, // entity output from default parser
     realm, // Keycloak realm name
     groups, // Keycloak group representation
   ) => {
     /* apply transformations */
     return entity;
   };
   const customUserTransformer: UserTransformer = async (
     entity, // entity output from default parser
     user, // Keycloak user representation
     realm, // Keycloak realm name
     groups, // Keycloak group representation
   ) => {
     /* apply transformations */
     return entity;
   };
   
   export const keycloakBackendModuleTransformer = createBackendModule({
     pluginId: 'catalog',
     moduleId: 'keycloak-transformer',
     register(reg) {
       reg.registerInit({
         deps: {
           keycloak: keycloakTransformerExtensionPoint,
         },
         async init({ keycloak }) {
           keycloak.setUserTransformer(customUserTransformer);
           keycloak.setGroupTransformer(customGroupTransformer);
           /* highlight-add-end */
         },
       });
     },
   });

   重要

   モジュールの pluginId は、keycloak-backend の pluginId と一致するように catalog に設定する必要があります。そうしないと、モジュールは初期化に失敗します。

3. この新しいバックエンドモジュールを Developer Hub バックエンドにインストールします。

   backend.add(import(backstage-plugin-catalog-backend-module-keycloak-transformer))

手順

1. Developer Hub が GitHub で認証できるようにするには、GitHub アプリケーションを作成します。きめ細かな権限を使用し、アプリケーションがアクセスできるリポジトリーをより細かく制御して、有効期間の短いトークンを使用するには、OAuth アプリケーションではなく GitHub アプリケーションを選択します。

   1. 次の設定で GitHub アプリケーションを登録します。

      • GitHub アプリケーション名: <Red Hat Developer Hub>-<GUID> など、GitHub アプリケーションを識別する一意の名前を入力します。
      • ホームページ URL: Developer Hub の URL: https://<my_developer_hub_url>
      • 認可コールバック URL: Developer Hub 認証バックエンド URL: https://<my_developer_hub_url>/api/auth/github/handler/frame
      • Webhook URL: Developer Hub の URL: https://<my_developer_hub_url>
      • Webhook シークレット: 強力なシークレットを提供します。

      • リポジトリー権限:

        • 次の項目に対する Read-only アクセスを有効にします。

          • 管理
          • コミットステータス
          • 内容
          • Dependabot アラート
          • デプロイメント
          • プルリクエスト

          • Webhook

            ヒント

            GitHub API を使用して変更を加える予定の場合は、Read-only ではなく、Read and write 権限が有効になっていることを確認してください。

        • 必要に応じて他の権限を切り替えます。

      • 組織の権限:

        • メンバー への Read-only アクセスを有効にします。
      • Where can this GitHub App be installed? で、Only on this account を選択します。
   2. General → Clients secrets セクションで、Generate a new client secret をクリックします。
   3. General → Private keys セクションで、Generate a private key をクリックします。
   4. Install App タブで、GitHub アプリケーションをインストールするアカウントを選択します。

   5. 次のステップのために以下の値を保存します。

      • アプリケーション ID
      • クライアント ID
      • クライアントシークレット
      • 秘密鍵
      • Webhook シークレット

2. GitHub 認証情報を Developer Hub に追加するには、以下のキーと値のペアを Developer Hub シークレット に追加します。

   AUTH_GITHUB_APP_ID

   保存した アプリケーション ID を入力します。

   AUTH_GITHUB_CLIENT_ID

   保存した クライアント ID を入力します。

   GITHUB_HOST_DOMAIN

   GitHub Enterprise を使用していない場合は、GitHub ホストドメイン (github.com) を入力します。

   GITHUB_ORGANIZATION

   '<your_github_organization_name>' などの GitHub 組織名を入力します。

   GITHUB_ORG_URL

   $GITHUB_HOST_DOMAIN/$GITHUB_ORGANIZATION を入力します。

   GITHUB_CLIENT_SECRET

   保存した クライアントシークレット を入力します。

   GITHUB_PRIVATE_KEY_FILE

   保存した 秘密鍵 を入力します。

   GITHUB_WEBHOOK_URL

   Developer Hub の URL を入力します (https://<my_developer_hub_url>)。

   GITHUB_WEBHOOK_SECRET

   保存した Webhook シークレット を入力します。

3. .GitHub 認証プロバイダーを設定し、Developer Hub のカスタム設定で GitHub API とのインテグレーションを有効にするには、Developer Hub のカスタム config map (my-rhdh-app-config など) を編集し、app-config.yaml ファイルの内容に次の行を追加します。

   GitHub での認証を有効にするための必須フィールドを含む app-config.yaml ファイルのフラグメント

   auth:
     environment: production 

   1

   
     providers:
       github:
         production:
           clientId: ${AUTH_GITHUB_CLIENT_ID} 

   2

   
           clientSecret: ${AUTH_GITHUB_CLIENT_SECRET}
   integrations:
     github:
       - host: ${GITHUB_HOST_DOMAIN}
         apps:
           - appId: ${AUTH_GITHUB_APP_ID}
             clientId: ${AUTH_GITHUB_CLIENT_ID}
             clientSecret: ${GITHUB_CLIENT_SECRET}
             webhookUrl: ${GITHUB_WEBHOOK_URL}
             webhookSecret: ${GITHUB_WEBHOOK_SECRET}
             privateKey: |
               ${GITHUB_PRIVATE_KEY_FILE}
   signInPage: github 

   3

   1

   環境を production としてマークし、Developer Hub のログインページでゲストログインオプションを無効にします。

   2

   Developer Hub のシークレットに設定されている GitHub 認証情報を適用します。

   3

   GitHub プロバイダーを Developer Hub サインインプロバイダーとして有効にします。

   1. オプション: 次のオプションフィールドを追加することを検討してください。

      callbackUrl

      OAuth フローを開始するときに GitHub が使用するコールバック URL (例: <your_intermediate_service_url/handler>)。多くの Developer Hub インスタンスに対して 1 つの OAuth アプリケーションを使用する場合など、Developer Hub が直接のレシーバーではない場合に定義します。

      オプションの enterpriseInstanceUrl フィールドを含む app-config.yaml ファイルのフラグメント

      auth:
        providers:
          github:
            production:
              callbackUrl: <your_intermediate_service_url/handler>

      enterpriseInstanceUrl

      GitHub Enterprise の URL。前のステップで GITHUB_HOST_DOMAIN シークレットを定義しておく必要があります。

      オプションの enterpriseInstanceUrl フィールドを含む app-config.yaml ファイルのフラグメント

      auth:
        providers:
          github:
            production:
              enterpriseInstanceUrl: ${GITHUB_HOST_DOMAIN}

      signIn

      resolvers

      認証が成功したら、サインインするユーザーを、Developer Hub カタログ内の既存のユーザーに解決する必要があります。ユースケースに合わせて最適な形でユーザーを確実にマッチさせるために、特定のリゾルバーを設定することを検討してください。デフォルトのリゾルバー usernameMatchingUserEntityName をオーバーライドするには、リゾルバーのリストを入力します。

      認証プロバイダーは、成功するまで各サインインリゾルバーを順番に試行します。どれも成功しない場合は失敗します。

      警告

      実稼働モードでは、ユーザーが確実にマッチするように、リゾルバーを 1 つだけ設定してください。

      resolver

      サインインリゾルバー名を入力します。利用可能なリゾルバーは次のとおりです。

      • usernameMatchingUserEntityName
      • preferredUsernameMatchingUserEntityName
      • emailMatchingUserEntityProfileEmail

      dangerouslyAllowSignInWithoutUserInCatalog: true

      Developer Hub ソフトウェアカタログのユーザープロビジョニング要件を回避するようにサインインリゾルバーを設定します。

      警告

      Developer Hub の機能を調べるには dangerouslyAllowSignInWithoutUserInCatalog を使用しますが、実稼働環境では使用しないでください。

      ソフトウェアカタログに存在しないユーザーのサインインを許可するオプションのフィールドを含む app-config.yaml ファイルのフラグメント

      auth:
        environment: production
        providers:
          github:
            production:
              clientId: ${AUTH_GITHUB_CLIENT_ID}
              clientSecret: ${AUTH_GITHUB_CLIENT_SECRET}
              signIn:
                resolvers:
                  - resolver: usernameMatchingUserEntityName
                    dangerouslyAllowSignInWithoutUserInCatalog: true
      integrations:
        github:
          - host: ${GITHUB_HOST_DOMAIN}
            apps:
              - appId: ${AUTH_GITHUB_APP_ID}
                clientId: ${AUTH_GITHUB_CLIENT_ID}
                clientSecret: ${GITHUB_CLIENT_SECRET}
                webhookUrl: ${GITHUB_WEBHOOK_URL}
                webhookSecret: ${GITHUB_WEBHOOK_SECRET}
                privateKey: |
                  ${GITHUB_PRIVATE_KEY_FILE}
      signInPage: github

検証

1. Developer Hub のログインページに移動します。
2. Developer Hub のサインインページには Sign in using GitHub と表示され、ゲストユーザーのサインインは無効になっています。
3. GitHub でログインします。

手順

1. backstage-plugin-catalog-backend-module-github-dynamic プラグインを有効 にします。

   dynamic-plugins.yaml ファイルフラグメント

   plugins:
     - package: './dynamic-plugins/dist/backstage-plugin-catalog-backend-module-github-dynamic'
       disabled: false

2. GitHub メンバー検出を有効にするには、カスタムの Developer Hub 設定ファイルである app-config.yaml を編集します。

   必須の github フィールドを含む app-config.yaml フラグメント

   catalog:
     providers:
       github:
         providerId:
           organization: "${GITHUB_ORGANIZATION}"
           schedule:
             frequency:
               minutes: 30
             initialDelay:
               seconds: 15
             timeout:
               minutes: 15
       githubOrg:
         githubUrl: "${GITHUB_HOST_DOMAIN}"
         orgs: [ "${GITHUB_ORGANIZATION}" ]
         schedule:
           frequency:
             minutes: 30
           initialDelay:
             seconds: 15
           timeout:
             minutes: 15

   organization、githubUrl、orgs

   GitHub で作成し、OpenShift でシークレットとして設定した Developer Hub アプリケーション情報を使用します。

   schedule.frequency

   カスタムスケジュールの頻度を指定します。コード内で使用される cron、ISO 期間、および "人間が判読可能な期間" をサポートします。

   schedule.timeout

   カスタムタイムアウトを指定します。コード内で使用される ISO 期間と "人間が判読可能な期間" をサポートします。

   schedule.initialDelay

   カスタム初期遅延を指定します。コード内で使用される ISO 期間と "人間が判読可能な期間" をサポートします。

検証

1. コンソールログをチェックして、同期が完了したことを確認します。

   同期が成功した例:

   {"class":"GithubMultiOrgEntityProvider","level":"info","message":"Reading GitHub users and teams for org: rhdh-dast","plugin":"catalog","service":"backstage","target":"https://github.com","taskId":"GithubMultiOrgEntityProvider:production:refresh","taskInstanceId":"801b3c6c-167f-473b-b43e-e0b4b780c384","timestamp":"2024-09-09 23:55:58"}
   {"class":"GithubMultiOrgEntityProvider","level":"info","message":"Read 7 GitHub users and 2 GitHub groups in 0.4 seconds. Committing...","plugin":"catalog","service":"backstage","target":"https://github.com","taskId":"GithubMultiOrgEntityProvider:production:refresh","taskInstanceId":"801b3c6c-167f-473b-b43e-e0b4b780c384","timestamp":"2024-09-09 23:55:59"}

2. GitHub アカウントでログインします。

前提条件

1. Microsoft Azure にアプリケーションを登録する権限がある。

   • カスタムの Developer Hub アプリケーション設定を追加 した。また、その設定を変更するための十分な権限を持っている。

手順

1. Developer Hub が Microsoft Azure で認証できるようにするために、Microsoft Azure で OAuth アプリケーションを作成 します。

   1. Azure ポータルで App registrations に移動し、次の設定で New registration を作成します。

      名前

      Azure 内のアプリケーション名 (例: <My Developer Hub>)

   2. Home > App registrations > <My Developer Hub> > Manage > Authentication ページで、次の設定で プラットフォームを追加 します。

      Redirect URI

      Developer Hub で設定されたバックエンド認証 URI (https://<my_developer_hub_url>/api/auth/microsoft/handler/frame) を入力します。

      Front-channel logout URL

      空白のままにします。

      Implicit grant and hybrid flows

      すべてのチェックボックスをオフのままにします。

   3. Home > App registrations > <My Developer Hub> > Manage > API permissions ページで、権限を追加 してから、Microsoft Graph API の次の 委任された権限 を追加します。

      • email
      • offline_access
      • openid
      • profile
      • User.Read.All
      • GroupMember.Read.All
      • Microsoft Graph API のオプションのカスタムスコープ。これは、このセクションと Developer Hub 設定ファイル app-config.yaml の両方で定義します。

1. Home > App registrations > <My Developer Hub> > Manage > Certificates & Secrets ページの Client secrets タブで、新しいクライアントシークレット を作成します。

2. 次のステップのために保存します。

   • ディレクトリー (テナント) ID
   • アプリケーション (クライアント) ID

   • アプリケーション (クライアント) シークレット

     1. Microsoft Azure 認証情報を Developer Hub に追加するには、以下のキーと値のペアを Developer Hub シークレット に追加します。

        AUTH_AZURE_TENANT_ID

        保存した ディレクトリー (テナント) ID を入力します。

        AUTH_AZURE_CLIENT_ID

        保存した アプリケーション (クライアント) ID を入力します。

        AUTH_AZURE_CLIENT_SECRET

        保存した アプリケーション (クライアント) シークレット を入力します。

     2. app-config.yaml ファイルで Microsoft Azure 認証プロバイダーを設定します。

        app-config.yaml ファイルのフラグメント

        auth:
          environment: production 

        1

        
          providers:
            microsoft:
              production:
                clientId: ${AUTH_AZURE_CLIENT_ID} 

        2

        
                clientSecret: ${AUTH_AZURE_CLIENT_SECRET}
                tenantId: ${AUTH_AZURE_TENANT_ID}
        signInPage: microsoft 

        3

        1

        環境を実稼働環境としてマークし、Developer Hub のログインページで Guest ログインオプションを無効にします。

        2

        Developer Hub のシークレットに設定されている Microsoft Azure 認証情報を適用します。

        3

        Microsoft Azure プロバイダーを Developer Hub サインインプロバイダーとして設定します。

3. オプション: 次のオプションフィールドを追加することを検討してください。

   domainHint

   シングルテナントアプリケーションの場合は任意です。他のテナントのアカウントを自動的に除外することで、複数のテナントにアカウントを持つユーザーのログインの手間を軽減できます。このパラメーターをシングルテナントアプリケーションで使用する場合は、コメントを解除してテナント ID を入力します。アプリケーション登録がマルチテナントの場合は、このパラメーターを空白のままにします。詳細は、Home Realm Discovery を参照してください。

   オプションの domainHint フィールドを含む app-config.yaml ファイルのフラグメント

   auth:
     environment: production
     providers:
       microsoft:
         production:
           domainHint: ${AUTH_AZURE_TENANT_ID}

   additionalScopes

   追加のスコープの場合は任意です。アプリケーション登録のスコープを追加するには、コメントを解除して、追加するスコープのリストを入力します。デフォルトおよび必須の値のリストは 'openid', 'offline_access', 'profile', 'email', 'User.Read' です。

   オプションの additionalScopes フィールドを含む app-config.yaml ファイルのフラグメント

   auth:
     environment: production
     providers:
       microsoft:
         production:
           additionalScopes:
              - Mail.Send

   sessionDuration

   ユーザーセッションの有効期間。期間は、ms ライブラリー形式 ('24h'、'2 days' など)、ISO の期間、またはコード内で使用される "人間が判読可能な期間" で入力します。

   オプションの sessionDuration フィールドを含む app-config-rhdh.yaml フラグメント

   auth:
     providers:
       microsoft:
         production:
           sessionDuration: { hours: 24 }

   signIn

   resolvers

   認証が成功したら、サインインするユーザーを、Developer Hub カタログ内の既存のユーザーに解決する必要があります。ユースケースに合わせて最適な形でユーザーを確実にマッチさせるために、特定のリゾルバーを設定することを検討してください。デフォルトのリゾルバー emailLocalPartMatchingUserEntityName をオーバーライドするには、リゾルバーのリストを入力します。

   認証プロバイダーは、成功するまで各サインインリゾルバーを順番に試行します。どれも成功しない場合は失敗します。

   警告

   実稼働モードでは、ユーザーが確実にマッチするように、リゾルバーを 1 つだけ設定してください。

   resolver

   サインインリゾルバー名を入力します。利用可能なリゾルバーは次のとおりです。

   • userIdMatchingUserEntityAnnotation
   • emailLocalPartMatchingUserEntityName
   • emailMatchingUserEntityProfileEmail

   dangerouslyAllowSignInWithoutUserInCatalog: true

   Developer Hub ソフトウェアカタログのユーザープロビジョニング要件を回避するようにサインインリゾルバーを設定します。

   警告

   Developer Hub の機能を調べるには dangerouslyAllowSignInWithoutUserInCatalog を使用しますが、実稼働環境では使用しないでください。

   ソフトウェアカタログに存在しないユーザーのサインインを許可するオプションのフィールドを含む app-config-rhdh.yaml フラグメント

   auth:
     environment: production
     providers:
       microsoft:
         production:
           clientId: ${AUTH_AZURE_CLIENT_ID}
           clientSecret: ${AUTH_AZURE_CLIENT_SECRET}
           tenantId: ${AUTH_AZURE_TENANT_ID}
           signIn:
             resolvers:
               - resolver: usernameMatchingUserEntityName
                 dangerouslyAllowSignInWithoutUserInCatalog: true
   signInPage: microsoft

手順

1. backstage-plugin-catalog-backend-module-msgraph-dynamic プラグインを有効 にします。

   dynamic-plugins.yaml ファイルフラグメント

   plugins:
     - package: './dynamic-plugins/dist/backstage-plugin-catalog-backend-module-msgraph-dynamic'
       disabled: false

2. Microsoft Azure メンバー検出を有効にするには、カスタム Developer Hub 設定ファイルである app-config.yaml を編集します。

   必須の microsoftGraphOrg フィールドを含む app-config.yaml フラグメント

   catalog:
     providers:
       microsoftGraphOrg:
         providerId:
           target: https://graph.microsoft.com/v1.0
           tenantId: ${AUTH_AZURE_TENANT_ID}
           clientId: ${AUTH_AZURE_CLIENT_ID}
           clientSecret: ${AUTH_AZURE_CLIENT_SECRET}
           schedule:
             frequency: { hours: 1 }
             timeout: { minutes: 50 }
             initialDelay: { minutes: 50 }

   target: https://graph.microsoft.com/v1.0

   プロバイダーが接続する MSGraph API エンドポイントを定義します。ベータエンドポイント などの別のバージョンを使用するには、このパラメーターを変更することを推奨します。

   tenandId、clientId、clientSecret

   Microsoft Azure で作成し、OpenShift でシークレットとして設定した Developer Hub アプリケーション情報を使用します。

   schedule

   frequency

   コードで使用されている cron、ISO 期間、または人間の期間としてスケジュール頻度を入力します。

   timeout

   スケジュールタイムアウトをコードで使用される ISO 期間またはヒューマンタイムとして入力します。

   initialDelay

   コードで使用されている ISO 期間またはヒューマンタイムとして、スケジュールの初期遅延を入力します。

   ヒント

   大規模な組織では、このプラグインには時間がかかる場合があります。したがって、多数のユーザーとグループを初めてインポートするときに、低い頻度またはタイムアウトを設定しないでください。

検証

1. コンソールログをチェックして、同期が完了したことを確認します。

   同期が成功した例:

   backend:start: {"class":"MicrosoftGraphOrgEntityProvider$1","level":"info","message":"Read 1 msgraph users and 1 msgraph groups in 2.2 seconds. Committing...","plugin":"catalog","service":"backstage","taskId":"MicrosoftGraphOrgEntityProvider:default:refresh","taskInstanceId":"88a67ce1-c466-41a4-9760-825e16b946be","timestamp":"2024-06-26 12:23:42"}
   backend:start: {"class":"MicrosoftGraphOrgEntityProvider$1","level":"info","message":"Committed 1 msgraph users and 1 msgraph groups in 0.0 seconds.","plugin":"catalog","service":"backstage","taskId":"MicrosoftGraphOrgEntityProvider:default:refresh","taskInstanceId":"88a67ce1-c466-41a4-9760-825e16b946be","timestamp":"2024-06-26 12:23:42"}

2. Microsoft Azure アカウントでログインします。