5.10. TOTP での Red Hat Single Sign On 認証の設定

1. Satellite Web UI を使用した Satellite への認証。
2. Satellite CLI を使用した Satellite への認証。

手順

1. Satellite Server で、以下のパッケージをインストールします。

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install python3-lxml

2. Satellite をクライアントとして Red Hat Single Sign-On に登録します。Web UI と CLI とでログインの登録プロセスが異なる点に注意してください。Red Hat Single Sign-On に 2 つの Satellite クライアントを登録すると、Web UI と CLI から Satellite にログインできます。

   • Web UI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

     次に、認証ソースとして Red Hat Single Sign On を使用するように Satellite を設定します。

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • CLI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

3. httpd サービスを再起動します。

   # systemctl restart httpd

手順

1. Red Hat Single Sign-On Web UI で、クライアント に移動し、Satellite クライアントをクリックします。

2. アクセスタイプを設定します。

   • Satellite web UI を使用して Satellite への認証を行うには、アクセスタイプ リストから 機密 を選択します。
   • CLI を使用して Satellite への認証を行うには、アクセスタイプ リストから 公開 を選択します。

3. 有効なリダイレクト URI フィールドに有効なリダイレクト URI を追加します。

   • Satellite web UI を使用して Satellite への認証を行うには、https://satellite.example.com/users/extlogin の形式で URI を入力します。Satellite FQDN の後に /users/extlogin の文字列を追加する必要があります。

     この手順の完了後に、Satellite クライアントが Satellite web UI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • CLI を使用してユーザーが Satellite への認証を行うには、既存の URI の下の空白フィールドに urn:ietf:wg:wg:oauth:2.0:oob を入力します。

     この手順の完了後に、Satellite クライアントが CLI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. Save をクリックします。
5. マッパー タブ、作成 の順にクリックし、オーディエンスマッパーを追加します。
6. 名前 フィールドに、オーディエンスマッパーの名前を入力します。
7. マッパータイプ リストから、オーディエンス を選択します。
8. 組み込み済みクライアントオーディエンス リストから、Satellite クライアントを選択します。
9. Save をクリックします。
10. 作成 をクリックして、グループメンバーシップをもとに Satellite の認証を指定できるようにグループマッパーを追加します。
11. 名前 フィールドにグループマッパーの名前を入力します。
12. マッパータイプ リストから、グループメンバーシップ を選択します。
13. トークンクレーム名 に groups と入力します。
14. フルグループパス のトグルを OFF に設定します。
15. Save をクリックします。

手順

1. Red Hat Single Sign-On Web UI で、Satellite レルムに移動します。
2. Authentication に移動し、OTP Policy タブをクリックします。
3. サポートされるアプリケーション フィールドに FreeOTP または Google Authenticator が含まれていることを確認します。
4. 要件に合わせて OTP を設定します。
5. 必要に応じて、すべてのユーザーのデフォルト認証方法として TOTP 認証を使用する場合は、Flows タブをクリックして OTP Form 設定の右側にある REQUIRED を選択します。
6. Required Actions タブをクリックします。
7. Configure OTP 行の右側にある Default Action チェックボックスを選択します。

手順

1. Satellite にログインすると、Satellite は Red Hat Single Sign-On のログイン画面にリダイレクトします。
2. ユーザー名とパスワードを入力し、ログイン をクリックします。
3. 初回ログインの場合には、Red Hat Single Sign-On により、バーコードをスキャンし、表示された暗証番号を入力してクライアントを設定するように求められます。
4. クライアントを設定して有効な暗証番号を入力すると、Red Hat Single Sign-On で Satellite にリダイレクト後にログインされます。

手順

1. コード付与タイプを使用して Satellite CLI への認証を行うには、以下のコマンドを入力します。

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   このコマンドは、サクセスコードの入力を要求します。

2. サクセスコードを取得するには、コマンドが返す URL に移動し、必要な情報を提供します。
3. Web UI が返すサクセスコードをコピーします。
4. hammer auth login oauth のコマンドプロンプトに、サクセスコードを入力して Satellite CLI に対して認証を行います。

手順

1. Satellite Web UI で、Administer > User Groups に移動します。
2. Create User Group をクリックします。
3. 名前 フィールドにユーザーグループの名前を入力します。名前は Active Directory と同じにしないでください。
4. 右側の列には、ユーザーおよびユーザーグループを追加しないでください。ロール タブをクリックします。
5. 管理 チェックボックスを選択します。
6. 外部グループ タブをクリックします。
7. 外部ユーザーグループの追加 をクリックします。
8. 名前 フィールドに、Active Directory の名前を入力します。
9. リストから 外部 を選択します。