アクセス制御とユーザー管理

手順

1. argocd CR を編集します。

   $ oc edit argocd [argocd-instance-name] -n [namespace]

   出力

   metadata
   ...
   ...
     rbac:
       policy: 'g, rbacsystem:cluster-admins, role:admin'
       scopes: '[groups]'

2. rbac セクションに policy 設定を追加し、ユーザーに適用する name と目的の role を追加します。

   metadata
   ...
   ...
   rbac:
       policy: g, <name>, role:<admin>
       scopes: '[groups]'

1. Argo CD カスタムリソース (CR) から .spec.sso.dex パラメーターを削除して Dex 設定を削除し、CR を保存します。

   dex:
       openShiftOAuth: true
       resources:
         limits:
           cpu:
           memory:
         requests:
           cpu:
           memory:

2. Argo CD CR で provider パラメーターの値を keycloak に設定します。

3. 次のいずれかの手順を実行して、Keycloak を設定します。

   • 安全な接続のために、次の例に示すように rootCA パラメーターの値を設定します。

     apiVersion: argoproj.io/v1beta1
     kind: ArgoCD
     metadata:
       name: example-argocd
       labels:
         example: basic
     spec:
       sso:
         provider: keycloak
         keycloak:
           rootCA: "<PEM-encoded-root-certificate>" 1
       server:
         route:
           enabled: true

     1

     Keycloak の TLS 証明書を検証するために使用されるカスタム証明書。

     Operator は .spec.keycloak.rootCA パラメーターの変更を調整し、argocd-cm 設定マップの PEM エンコードされたルート証明書で oidc.config パラメーターを更新します。

   • 安全でない接続の場合は、rootCA パラメーターの値を空のままにして、以下に示すように oidc.tls.insecure.skip.verify パラメーターを使用します。

     apiVersion: argoproj.io/v1beta1
     kind: ArgoCD
     metadata:
       name: example-argocd
       labels:
         example: basic
     spec:
       extraConfig:
         oidc.tls.insecure.skip.verify: "true"
       sso:
         provider: keycloak
         keycloak:
           rootCA: ""

   • オプション: spec.sso.keycloak フィールドをカスタマイズして、ArgoCD CR に keycloak プロバイダーのルート名を追加します。この機能を使用すると、複数の Ingress Controller シャーディング 間で着信トラフィックの負荷を分散するなど、高度なルーティングのユースケースをサポートできます。

     • 次の YAML の例を使用して、ArgoCD CR に host パラメーターを追加します。

       ArgoCD CR の例

       apiVersion: argoproj.io/v1alpha1
       kind: ArgoCD
       metadata:
         name: <resource_name> 1
         labels:
           example: route
       spec:
         sso:
           provider: keycloak
           keycloak:
            host: <hostname> 2
         server:
           ingress:
             enabled: true
           insecure: true

       1

       <resource_name> を ArgoCD CR の名前に置き換えます。

       2

       <hostname> をホストキーの名前に置き換えます (例: sso.test.example.com)。

     • ArgoCD CR を作成するには、次のコマンドを実行します。

       $ oc create -f <argocd_filename>.yaml -n <your-namespace>

     • ArgoCD CR を編集するには、次のコマンドを実行します。

       $ oc edit -f <argocd_filename>.yaml -n <your_namespace>

     • 変更を適用するためにファイルを保存します。

     • ArgoCD CR を適用するには、次のコマンドを実行します。

       $ oc apply -f <argocd_filename>.yaml -n <your_namespace>

     • 次のコマンドを実行して、host 属性が追加されたことを確認します。

       $ oc get route keycloak -n <your_namespace> -o yaml

       出力例

       kind: Route
       metadata:
         name: keycloak 1
         labels:
           application: keycloak
       spec:
         host: sso.test.example.com
       status:
         ingress:
           - host: sso.test.example.com 2

       1

       Pod の名前を指定します。

       2

       ホストキーの名前を指定します。

       注記

       Keycloak インスタンスのインストールおよび実行には、2 - 3 分かかります。

手順

1. ログイン用の Keycloak ルート URL を取得します。

   $ oc -n argocd get route keycloak
   
   NAME        HOST/PORT                                                        PATH   SERVICES   PORT    TERMINATION   WILDCARD
   keycloak    keycloak-default.apps.ci-ln-******.origin-ci-int-aws.dev.**.com         keycloak   <all>    reencrypt     None

2. 環境変数としてユーザー名とパスワードを保存する Keycloak Pod 名を取得します。

   $ oc -n argocd get pods
   
   NAME                      READY   STATUS           RESTARTS   AGE
   keycloak-1-2sjcl           1/1    Running            0        45m

   1. Keycloak ユーザー名を取得します。

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_USERNAME
      
      SSO_ADMIN_USERNAME=Cqid54Ih

   2. Keycloak パスワードを取得します。

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_PASSWORD
      
      SSO_ADMIN_PASSWORD=GVXxHifH

3. ログインページで、LOG IN VIA KEYCLOAK をクリックします。

   注記

   Keycloak インスタンスの準備ができた後にのみ、LOGIN VIA KEYCLOAK オプションが表示されます。

4. Login with OpenShift をクリックします。

   注記

   kubeadmin を使用したログインはサポートされていません。

5. ログインするために OpenShift の認証情報を入力します。

6. オプション: デフォルトでは、Argo CD にログインしているすべてのユーザーが、読み取り専用アクセス権を持っています。argocd-rbac-cm 設定マップを更新して、ユーザーレベルのアクセスを管理できます。

   policy.csv:
   <name>, <email>, role:admin