アクセス制御とユーザー管理

手順

1. argocd CR を編集します。

   $ oc edit argocd [argocd-instance-name] -n [namespace]

   Copy to Clipboard Toggle word wrap

   出力

   metadata
   ...
   ...
     rbac:
       policy: 'g, rbacsystem:cluster-admins, role:admin'
       scopes: '[groups]'

   Copy to Clipboard Toggle word wrap

2. policy 設定を rbac セクションに追加し、name、email、およびユーザーの role を追加します。

   metadata
   ...
   ...
   rbac:
       policy: <name>, <email>, role:<admin>
       scopes: '[groups]'

   Copy to Clipboard Toggle word wrap

手順

1. Dex を有効にするには、Operator の YAML リソースで .spec.sso.provider: dex パラメーターを設定します。

   ...
   spec:
     sso:
       provider: dex
       dex:
         openShiftOAuth: true
   ...

   Copy to Clipboard Toggle word wrap
2. dex を無効にするには、Argo CD カスタムリソースから spec.sso 要素を削除するか、別の SSO プロバイダーを指定します。

1. Argo CD カスタムリソース (CR) から .spec.sso.dex パラメーターを削除して Dex 設定を削除し、CR を保存します。

   dex:
       openShiftOAuth: true
       resources:
         limits:
           cpu:
           memory:
         requests:
           cpu:
           memory:

   Copy to Clipboard Toggle word wrap
2. Argo CD CR で provider パラメーターの値を keycloak に設定します。

3. 次のいずれかの手順を実行して、Keycloak を設定します。

   • 安全な接続のために、次の例に示すように rootCA パラメーターの値を設定します。

     apiVersion: argoproj.io/v1alpha1
     kind: ArgoCD
     metadata:
       name: example-argocd
       labels:
         example: basic
     spec:
       sso:
         provider: keycloak
         keycloak:
           rootCA: "<PEM-encoded-root-certificate>" 

     1

     
       server:
         route:
           enabled: true

     Copy to Clipboard Toggle word wrap

     1

     Keycloak の TLS 証明書を検証するために使用されるカスタム証明書。

     Operator は .spec.keycloak.rootCA パラメーターの変更を調整し、argocd-cm 設定マップの PEM エンコードされたルート証明書で oidc.config パラメーターを更新します。

   • 安全でない接続の場合、rootCA パラメーターの値を空のままにして、以下に示すように oidc.tls.insecure.skip.verify パラメーターを使用します。

     apiVersion: argoproj.io/v1alpha1
     kind: ArgoCD
     metadata:
       name: example-argocd
       labels:
         example: basic
     spec:
       extraConfig:
         oidc.tls.insecure.skip.verify: "true"
       sso:
         provider: keycloak
         keycloak:
           rootCA: ""

     Copy to Clipboard Toggle word wrap

手順

1. ログイン用の Keycloak ルート URL を取得します。

   $ oc -n argocd get route keycloak
   
   NAME        HOST/PORT                                                        PATH   SERVICES   PORT    TERMINATION   WILDCARD
   keycloak    keycloak-default.apps.ci-ln-******.origin-ci-int-aws.dev.**.com         keycloak   <all>    reencrypt     None

   Copy to Clipboard Toggle word wrap

2. 環境変数としてユーザー名とパスワードを保存する Keycloak Pod 名を取得します。

   $ oc -n argocd get pods
   
   NAME                      READY   STATUS           RESTARTS   AGE
   keycloak-1-2sjcl           1/1    Running            0        45m

   Copy to Clipboard Toggle word wrap

   1. Keycloak ユーザー名を取得します。

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_USERNAME
      
      SSO_ADMIN_USERNAME=Cqid54Ih

      Copy to Clipboard Toggle word wrap

   2. Keycloak パスワードを取得します。

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_PASSWORD
      
      SSO_ADMIN_PASSWORD=GVXxHifH

      Copy to Clipboard Toggle word wrap

3. ログインページで、LOG IN VIA KEYCLOAK をクリックします。

   注記

   Keycloak インスタンスの準備ができた後にのみ、LOGIN VIA KEYCLOAK オプションが表示されます。

4. Login with OpenShift をクリックします。

   注記

   kubeadmin を使用したログインはサポートされていません。

5. ログインするために OpenShift の認証情報を入力します。

6. オプション: デフォルトでは、Argo CD にログインしているすべてのユーザーが、読み取り専用アクセス権を持っています。argocd-rbac-cm 設定マップを更新して、ユーザーレベルのアクセスを管理できます。

   policy.csv:
   <name>, <email>, role:admin

   Copy to Clipboard Toggle word wrap