アクセス制御とユーザー管理

手順

1. argocd CR を編集します。

   $ oc edit argocd [argocd-instance-name] -n [namespace]

   Copy to Clipboard Toggle word wrap

   出力

   metadata
   ...
   ...
     rbac:
       policy: 'g, rbacsystem:cluster-admins, role:admin'
       scopes: '[groups]'

   Copy to Clipboard Toggle word wrap

2. rbac セクションに policy 設定を追加し、ユーザーに適用する name と目的の role を追加します。

   metadata
   ...
   ...
   rbac:
       policy: g, <name>, role:<admin>
       scopes: '[groups]'

   Copy to Clipboard Toggle word wrap

1. Argo CD カスタムリソース (CR) から .spec.sso.dex パラメーターを削除して Dex 設定を削除し、CR を保存します。

   dex:
       openShiftOAuth: true
       resources:
         limits:
           cpu:
           memory:
         requests:
           cpu:
           memory:

   Copy to Clipboard Toggle word wrap
2. Argo CD CR で provider パラメーターの値を keycloak に設定します。

3. 次のいずれかの手順を実行して、Keycloak を設定します。

   • 安全な接続のために、次の例に示すように rootCA パラメーターの値を設定します。

     apiVersion: argoproj.io/v1beta1
     kind: ArgoCD
     metadata:
       name: example-argocd
       labels:
         example: basic
     spec:
       sso:
         provider: keycloak
         keycloak:
           rootCA: "<PEM-encoded-root-certificate>" 

     1

     
       server:
         route:
           enabled: true

     Copy to Clipboard Toggle word wrap

     1

     Keycloak の TLS 証明書を検証するために使用されるカスタム証明書。

     Operator は .spec.keycloak.rootCA パラメーターの変更を調整し、argocd-cm 設定マップの PEM エンコードされたルート証明書で oidc.config パラメーターを更新します。

   • 安全でない接続の場合は、rootCA パラメーターの値を空のままにして、以下に示すように oidc.tls.insecure.skip.verify パラメーターを使用します。

     apiVersion: argoproj.io/v1beta1
     kind: ArgoCD
     metadata:
       name: example-argocd
       labels:
         example: basic
     spec:
       extraConfig:
         oidc.tls.insecure.skip.verify: "true"
       sso:
         provider: keycloak
         keycloak:
           rootCA: ""

     Copy to Clipboard Toggle word wrap

   • オプション: spec.sso.keycloak フィールドをカスタマイズして、ArgoCD CR に keycloak プロバイダーのルート名を追加します。この機能を使用すると、複数の Ingress Controller シャーディング 間で着信トラフィックの負荷を分散するなど、高度なルーティングのユースケースをサポートできます。

     • 次の YAML の例を使用して、ArgoCD CR に host パラメーターを追加します。

       ArgoCD CR の例

       apiVersion: argoproj.io/v1alpha1
       kind: ArgoCD
       metadata:
         name: <resource_name> 

       1

       
         labels:
           example: route
       spec:
         sso:
           provider: keycloak
           keycloak:
            host: <hostname> 

       2

       
         server:
           ingress:
             enabled: true
           insecure: true

       Copy to Clipboard Toggle word wrap

       1

       <resource_name> を ArgoCD CR の名前に置き換えます。

       2

       <hostname> をホストキーの名前に置き換えます (例: sso.test.example.com)。

     • ArgoCD CR を作成するには、次のコマンドを実行します。

       $ oc create -f <argocd_filename>.yaml -n <your-namespace>

       Copy to Clipboard Toggle word wrap

     • ArgoCD CR を編集するには、次のコマンドを実行します。

       $ oc edit -f <argocd_filename>.yaml -n <your_namespace>

       Copy to Clipboard Toggle word wrap
     • 変更を適用するためにファイルを保存します。

     • ArgoCD CR を適用するには、次のコマンドを実行します。

       $ oc apply -f <argocd_filename>.yaml -n <your_namespace>

       Copy to Clipboard Toggle word wrap

     • 次のコマンドを実行して、host 属性が追加されたことを確認します。

       $ oc get route keycloak -n <your_namespace> -o yaml

       Copy to Clipboard Toggle word wrap

       出力例

       kind: Route
       metadata:
         name: keycloak 

       1

       
         labels:
           application: keycloak
       spec:
         host: sso.test.example.com
       status:
         ingress:
           - host: sso.test.example.com 

       2

       Copy to Clipboard Toggle word wrap

       1

       Pod の名前を指定します。

       2

       ホストキーの名前を指定します。

       注記

       Keycloak インスタンスのインストールおよび実行には、2 - 3 分かかります。

手順

1. ログイン用の Keycloak ルート URL を取得します。

   $ oc -n argocd get route keycloak
   
   NAME        HOST/PORT                                                        PATH   SERVICES   PORT    TERMINATION   WILDCARD
   keycloak    keycloak-default.apps.ci-ln-******.origin-ci-int-aws.dev.**.com         keycloak   <all>    reencrypt     None

   Copy to Clipboard Toggle word wrap

2. 環境変数としてユーザー名とパスワードを保存する Keycloak Pod 名を取得します。

   $ oc -n argocd get pods
   
   NAME                      READY   STATUS           RESTARTS   AGE
   keycloak-1-2sjcl           1/1    Running            0        45m

   Copy to Clipboard Toggle word wrap

   1. Keycloak ユーザー名を取得します。

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_USERNAME
      
      SSO_ADMIN_USERNAME=Cqid54Ih

      Copy to Clipboard Toggle word wrap

   2. Keycloak パスワードを取得します。

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_PASSWORD
      
      SSO_ADMIN_PASSWORD=GVXxHifH

      Copy to Clipboard Toggle word wrap

3. ログインページで、LOG IN VIA KEYCLOAK をクリックします。

   注記

   Keycloak インスタンスの準備ができた後にのみ、LOGIN VIA KEYCLOAK オプションが表示されます。

4. Login with OpenShift をクリックします。

   注記

   kubeadmin を使用したログインはサポートされていません。

5. ログインするために OpenShift の認証情報を入力します。

6. オプション: デフォルトでは、Argo CD にログインしているすべてのユーザーが、読み取り専用アクセス権を持っています。argocd-rbac-cm 設定マップを更新して、ユーザーレベルのアクセスを管理できます。

   policy.csv:
   <name>, <email>, role:admin

   Copy to Clipboard Toggle word wrap