10.2. Gateway API の OpenID Connect (OIDC) 認証の設定

手順

1. OpenShift CLI (oc) で、次のコマンドを実行して OpenShift 認証タイプを確認します。

   $ oc get authentication.config/cluster -o jsonpath='{.spec.type}'

   Copy to Clipboard Toggle word wrap

   認証が成功すると、次の出力が表示されます: OIDC

2. 次のコマンドを実行して、OIDC プロバイダーが期待どおりに設定されていることを確認します。

   $ oc get authentication.config/cluster -o jsonpath='{.spec.oidcProviders[*].name}'

   Copy to Clipboard Toggle word wrap

   OIDC 設定が成功すると、プロバイダー名 (例: keycloak) が表示されます。

3. kube-apiserver が期待どおりに変更をロールアウトしたことを確認します。

   $ oc get co kube-apiserver

   Copy to Clipboard Toggle word wrap

   成功が示されている場合、予想される出力は次の例のようになります。

   NAME              VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE
   kube-apiserver    4.14.9    True        False         False      1d

   Copy to Clipboard Toggle word wrap
   注記

   ロールアウトには 20 分以上かかる場合があります。すべてのノードに新しいリビジョンが反映されるまで待機してから、続行します。oc get authentication.config/cluster で type: OIDC と表示され、oc get co kube-apiserver で認証のロールアウトが完了したことが表示され、OIDC 認証情報を使用して OpenShift に正常に認証できる場合は、Gateway の設定手順に進むことができます。

4. 次の環境変数を定義します。プレースホルダーの値は、OIDC アイデンティティープロバイダー (IdP) からの実際の詳細に置き換える必要があります。

   # Replace with your actual values
   KEYCLOAK_DOMAIN="<keycloak.example.com>"
   KEYCLOAK_REALM="<your-realm>"
   KEYCLOAK_CLIENT_ID="<your-client-id>"
   KEYCLOAK_CLIENT_SECRET="<your-client-secret>"

   Copy to Clipboard Toggle word wrap

5. openshift-ingress namespace にクライアントシークレットを作成します。

   $ oc create secret generic keycloak-client-secret \
       --from-literal=clientSecret=$KEYCLOAK_CLIENT_SECRET \
       -n openshift-ingress

   Copy to Clipboard Toggle word wrap

6. シークレット参照と OIDC の詳細をパッチして、GatewayConfig カスタムリソースを更新し、OIDC 認証を有効にします。

   $ oc patch gatewayconfig default-gateway --type='merge' -p='{
       "spec": {
         "oidc": {
           "issuerURL": "https://'$KEYCLOAK_DOMAIN'/realms/'$KEYCLOAK_REALM'",
           "clientID": "'$KEYCLOAK_CLIENT_ID'",
           "clientSecretRef": {
             "name": "keycloak-client-secret",
             "key": "clientSecret"
           }
         }
       }
     }'

   Copy to Clipboard Toggle word wrap

7. クライアントシークレットが作成され、GatewayConfig に正しい OIDC 設定が表示されていることを確認します。

   $ oc get secret keycloak-client-secret -n openshift-ingress
   $ oc get gatewayconfig default-gateway -o jsonpath='{.spec.oidc}'

   Copy to Clipboard Toggle word wrap

   シークレットと GatewayConfig の予想される出力は、次の例のようになります。

   # Expected output (for secret)
   NAME                     TYPE     DATA   AGE
   keycloak-client-secret   Opaque   1      2m
   # Expected output (for GatewayConfig)
   {"clientID":"your-client-id","clientSecretRef":{"key":"clientSecret","name":"keycloak-client-secret"},"issuerURL":"https://keycloak.example.com/realms/your-realm"}

   Copy to Clipboard Toggle word wrap

検証

1. アイデンティティープロバイダーの Gateway を設定して認証した後、OpenShift コンソールにアクセスできることを確認する必要があります。

   1. コンソールリンクにアクセスして Gateway にアクセスします。

      $ oc get consolelink

      Copy to Clipboard Toggle word wrap

   2. OIDC 認証情報を使用してログインし、以下を確認します。

      1. OIDC プロバイダーのログインページにリダイレクトされます。認証が成功すると、Gateway にリダイレクトされます。
      2. OpenShift AI コンポーネント (ダッシュボード、Notebook など) にアクセスできます。

2. GatewayConfig ステータスをチェックして、OIDC 設定が正常にプロビジョニングされたことを確認します。

   $ oc get gatewayconfig default-gateway -o yaml

   Copy to Clipboard Toggle word wrap

   予想される出力は、GatewayConfig リソースの完全な YAML 設定です。これには、spec.oidc の下に OIDC 設定の詳細が表示され、かつ Ready と ProvisioningSucceeded の両方の条件が status: "True" の値を示していることで、デプロイが成功したことを確認できます。

3. kube-auth-proxy デプロイメントが openshift-ingress namespace で正常に実行されていることを確認します。

   $ oc get deployment kube-auth-proxy -n openshift-ingress

   Copy to Clipboard Toggle word wrap

   予想される出力は次の例のようになります。

   NAME              READY   UP-TO-DATE   AVAILABLE   AGE
   kube-auth-proxy   1/1     1            1           5m

   Copy to Clipboard Toggle word wrap

4. data-science-gateway のステータスとアクセス可能性を確認します。

   $ oc get gateway data-science-gateway -n openshift-ingress

   Copy to Clipboard Toggle word wrap

   予想される出力は次の例のようになります。

   NAME                   CLASS                        ADDRESS                                                                        PROGRAMMED   AGE
   data-science-gateway   data-science-gateway-class   aa87f5da7f0c748d5aa63b4916604108-107643684.us-east-1.elb.amazonaws.com         True         5m

   Copy to Clipboard Toggle word wrap

5. 次のコマンドを実行して、OIDC 検出エンドポイントをテストします。

   curl -s https://your-keycloak-domain/realms/your-realm/.well-known/openid-configuration

   Copy to Clipboard Toggle word wrap

   予想される出力は、OIDC プロバイダーが公開で検出可能であることを確認する、OIDC 設定エンドポイント (issuer、authorization_endpoint、token_endpoint など) を含む JSON オブジェクトです。

1. コンソールで OpenShift プロジェクトへの読み取りおよびリスト表示アクセス権をユーザーに付与する ClusterRole を作成します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: odh-projects-read
   rules:
   - apiGroups: ["project.openshift.io"]
     resources: ["projects"]
     verbs: ["get","list"]

   Copy to Clipboard Toggle word wrap

2. odh-projects-read ClusterRole を IdP グループ (たとえば、odh-users) にバインドします。

   $ oc adm policy add-cluster-role-to-group odh-projects-read odh-users

   Copy to Clipboard Toggle word wrap

3. 組み込みのセルフプロビジョナー ClusterRole をグループに割り当てることで、新しいプロジェクトを作成および管理する権限を付与します。

   $ oc adm policy add-cluster-role-to-group self-provisioner odh-users

   Copy to Clipboard Toggle word wrap