第1章概要

本ガイドでは、認証サービスに Red Hat Single Sign-On(RH-SSO)サーバーを使用して、高可用性 Red Hat OpenStack Platform director 環境でフェデレーションを設定する方法について説明します。

1.1. 運用ゴール

本書に従うことで、OpenStack デプロイメントの認証サービスは RH-SSO とフェデレーションされ、以下の特徴があります。

フェデレーションは、SAML(Security Assertion Markup Language)を基にします。
ID プロバイダー(IdP)は RH-SSO で、Red Hat OpenStack Platform デプロイメント外部にあります。
RH-SSO IdP は、フェデレーションされたユーザーバッキングストアとして Red Hat Identity Management(IdM)を使用します。その結果、ユーザーおよびグループは IdM で管理され、RH-SSO は IdM に保存されているユーザーおよびグループ情報を参照します。
IdM ユーザーは、IdM グループ openstack-users に追加されると、OpenStack へのアクセスが許可されます。
OpenStack Keystone には federated_users という名前のグループがあります。federated_users グループのメンバーには Member ロールが割り当てられ、プロジェクトへのアクセス権限を付与します。
フェデレーションされた認証プロセス時に、IdM グループの openstack-users のメンバーは OpenStack Group federated_users にマッピングされます。その結果、OpenStack にアクセスするために IdM ユーザーは openstack-users グループのメンバーである必要があります。ユーザーが IdM グループ openstack-users のメンバーでない場合は、認証に失敗します。