8.2. Identity サービスとフェデレーション IdP の統合

手順

1. フェデレーションドメインを作成します。

   $ openstack domain create <federated_domain_name>

   Copy to Clipboard Toggle word wrap

   出力例:

   +-------------+----------------------------------+
   | Field       | Value                            |
   +-------------+----------------------------------+
   | description |                                  |
   | enabled     | True                             |
   | id          | b493634c9dbf4546a2d1988af181d7c9 |
   | name        | my_domain                        |
   | options     | {}                               |
   | tags        | []                               |
   +-------------+----------------------------------+

   Copy to Clipboard Toggle word wrap
   • <federated_domain_name> を、アイデンティティープロバイダーで管理しているドメインの名前に置き換えます。

2. フェデレーションアイデンティティープロバイダーを設定します。

   $ openstack identity provider create --remote-id https://<sso_fqdn>:9443/realms/<realm> --domain <federated_domain_name> <idp_name>

   Copy to Clipboard Toggle word wrap
   • <sso_fqdn> を、アイデンティティープロバイダーの完全修飾ドメイン名に置き換えます。
   • <realm> を RH-SSO レルムに置き換えます。デフォルトのレルムは master です。
   • <federated_domain_name> は、手順 1 で作成したフェデレーションドメインの名前に置き換えます。

   • <idp_name> は、一意のリダイレクト URL を作成するために選択した文字列に置き換えます。

     出力例:

     +-------------------+-----------------------------------------------------+
     | Field             | Value                                               |
     +-------------------+-----------------------------------------------------+
     | authorization_ttl | None                                                |
     | description       | None                                                |
     | domain_id         | b493634c9dbf4546a2d1988af181d7c9                    |
     | enabled           | True                                                |
     | id                | kcipaIDP                                            |
     | remote_ids        | https://sso.fqdn.local:9443/realms/master           |
     +-------------------+-----------------------------------------------------+

     Copy to Clipboard Toggle word wrap

3. クラウドのアイデンティティーが必要とする固有のマッピングファイルを作成します。

   以下に例を示します。

    cat > mapping.json << EOF
   [
   	{
       	"local": [
           	{
               	"user": {
                	"name": "{0}"
               	},
               	"group": {
                   	"domain": {
                    	"name": "<federated_domain_name>" 

   1

   
                   	},
                   	"name": "<federated_group_name>" 

   2

   
               	}
           	}
       	],
       	"remote": [
           	{
               	"type": "OIDC-preferred_username" 

   3

   
           	}
       	]
   	}
   ]
   EOF

   Copy to Clipboard Toggle word wrap

   1

   <federated_domain_name> は、手順 1 で作成したドメインです。

   2

   <federated_group_name> の名前を選択します。これは後の手順で作成します。

   3

   アイデンティティープロバイダーのクレーム ID として OIDC-preferred_username を使用する必要があります。

4. マッピングファイルを使用して、RHOSP のフェデレーションマッピングルールを作成します。上記の例では、mapping.json ファイルから作成されたマッピングルールの名前は IPAmap です。

   $ openstack mapping create --rules <file> <name>

   Copy to Clipboard Toggle word wrap

   以下に例を示します。

   $ openstack mapping create --rules mapping.json IPAmap

   Copy to Clipboard Toggle word wrap

5. フェデレーショングループを作成します。

   $ openstack group create --domain <federated_domain_name> <federated_group_name>

   Copy to Clipboard Toggle word wrap

6. Identity サービス (keystone) プロジェクトを作成します。

   $ openstack project create --domain <federated_domain> <federated_project_name>

   Copy to Clipboard Toggle word wrap

7. Identity サービスのフェデレーショングループをロールに追加します。

   $ openstack role add --group <federated_group_name> --group-domain <federated_domain> --project <federated_project_name> --project-domain <federated_domain> member

   Copy to Clipboard Toggle word wrap

8. OpenID フェデレーションプロトコルを作成します。

   $ openstack federation protocol create openid --mapping <mapping_name> --identity-provider <idp_name>

   Copy to Clipboard Toggle word wrap