13.8. 外部認証用の Satellite と Red Hat Single Sign On の統合

手順

1. 以下のパッケージをインストールします。

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install

   Copy to Clipboard Toggle word wrap

2. Satellite Server に、Red Hat Single Sign On httpd クライアントをインストールします。

   # keycloak-httpd-client-install --app-name foreman-openidc \
   --keycloak-server-url "RHSSO.example.com" \
   --keycloak-admin-username "RHSSO_User" \
   --keycloak-realm "RHSSO_Realm" \
   --keycloak-admin-realm master \
   --keycloak-auth-role root-admin -t openidc -l /users/extlogin --force

   Copy to Clipboard Toggle word wrap

   上記のコマンドは、Red Hat Single Sign On に Satellite のクライアントを登録します。

3. satellite-installer を使用して Red Hat Single Sign On を有効にします。

   # satellite-installer --foreman-keycloak true \
   --foreman-keycloak-app-name  "foreman-openidc" \
   --foreman-keycloak-realm "RHSSO_Realm"

   Copy to Clipboard Toggle word wrap

4. httpd サービスを再起動します。

   # systemctl restart httpd

   Copy to Clipboard Toggle word wrap
5. Red Hat Single Sign-On Web UI で、クライアント に移動し、Satellite クライアントをクリックします。
6. アクセスタイプ 設定が 機密 に設定されていることを確認します。

7. Red Hat Single Sign-On バージョン7.3 以降を使用している場合は、以下の手順を実行します。

   1. Red Hat Single Sign-On Web UI に移動し、クライアント をクリックして、Satellite に登録されているクライアントをクリックします。
   2. デフォルトで 1 つのリダイレクト URI を含む 有効なリダイレクト URI フィールドを見つけます。https://satellite.example.com/users/extlogin の形式で、有効なリダイレクト URI を追加します。
   3. 保存 をクリックします。

   4. マッパー タブをクリックし、作成 をクリックします。オーディエンスマッパーに以下の値を設定します。

      • マッパータイプ リストから、オーディエンス を選択します。

      • 組み込み済みクライアントオーディエンス リストから、Satellite で使用するクライアントを選択します。

        詳細は、『Red Hat Single Sign On Server Administration Guide』の「Audience Support」を参照してください。

   5. 保存 をクリックします。

   6. Mapper タブをクリックして 作成 をクリックし、グループメンバーシップをもとに Satellite の認証を指定できるようにグループマッパーを追加します。グループマッパーに以下の値を設定します。

      • マッパータイプ リストから、グループメンバーシップ を選択します。
      • トークンクレーム名 リストから グループ を選択します。

      • フルグループパス のトグルを OFF に設定します。

        グループマッパーの詳細は、『Red Hat Single Sign-On Server Administration Guide』の「LDAP Mappers」セクションの Group Mapper を参照してください。

   7. Save をクリックします。
8. Satellite Web UI で、管理 > 設定 に移動して、認証 タブをクリックします。
9. ログイン委任の認証 の行を見つけ、値 コラムで値を Yes に設定します。
10. Authorize login delegation auth source user autocreate の行を見つけ、値 コラムで値を External に設定します。

11. ログイン委任のログアウト URL の行を見つけ、値 コラムで、値を https://satellite.example.com/users/extlogout に設定します。

    以下の手順では、URL RHSSO.example.com/auth/realms/RHSSO_REALM/.well-known/openid-configuration に移動して、必要とする値を取得することができます。

12. OIDC アルゴリズム の行を見つけ、値 コラムで、Red Hat Single Sign On のエンコーティングのアルゴリズムを設定します (例: RS256)。
13. OIDC オーディエンス 行を見つけ、値 コラム で、値を Red Hat Single Sign On のクライアント ID に設定します (['satellite.example.com'])。
14. OIDC 発行者 の行を見つけ、値 コラムで、値を RHSSO.example.com/auth/realms/RHSSO_Realm に設定します。
15. OIDC JWKs URL の行を見つけ、値 コラムで、値を RHSSO.example.com/auth/realms/RHSSO_Realm/protocol/openid-connect/certs に設定します。

16. BZ#1792131 が解決されるまで、Hammer CLI を使用して組織とロケーションを設定する必要があります。Red Hat Single Sign-On 認証ソースの ID を取得するには、以下のコマンドを入力します。

    # hammer auth-source external list

    Copy to Clipboard Toggle word wrap

17. 認証元の組織とロケーションを設定します。

    # hammer auth-source external update --id Authentication Source ID \
    --location-ids Location ID --organization-ids Organization ID

    Copy to Clipboard Toggle word wrap

CLI をご利用の場合

1. 以下のパッケージをインストールします。

   # satellite-maintain packages install keycloak-httpd-client-install

   Copy to Clipboard Toggle word wrap

2. Satellite Server に、Red Hat Single Sign On httpd クライアントをインストールします。

   # keycloak-httpd-client-install --app-name foreman-openidc \
   --keycloak-server-url "RHSSO.example.com" \
   --keycloak-admin-username "RHSSO_User" \
   --keycloak-realm "RHSSO_Realm" \
   --keycloak-admin-realm master \
   --keycloak-auth-role root-admin -t openidc -l /users/extlogin --force

   Copy to Clipboard Toggle word wrap

   このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

3. satellite-installer を使用して Red Hat Single Sign On を有効にします。

   # satellite-installer --foreman-keycloak true \
   --foreman-keycloak-app-name  "foreman-openidc" \
   --foreman-keycloak-realm "RHSSO_Realm"

   Copy to Clipboard Toggle word wrap

4. httpd サービスを再起動します。

   # systemctl restart httpd

   Copy to Clipboard Toggle word wrap
5. Red Hat Single Sign-On Web UI で、クライアント に移動し、Satellite クライアントをクリックします。
6. アクセスタイプ 設定を 公開 に設定します。
7. 有効なリダイレクト URL フィールドに urn:ietf:wg:oauth:2.0:oob を入力します。

8. Red Hat Single Sign-On バージョン7.3 以降を使用している場合は、以下の手順を実行します。

   1. Red Hat Single Sign-On Web UI に移動し、クライアント をクリックして、Satellite に登録されているクライアントをクリックします。
   2. デフォルトで 1 つのリダイレクト URI を含む 有効なリダイレクト URI フィールドを見つけます。https://satellite.example.com/users/extlogin の形式で、有効なリダイレクト URI を追加します。
   3. 保存 をクリックします。

   4. マッパー タブをクリックし、作成 をクリックします。オーディエンスマッパーに以下の値を設定します。

      • マッパータイプ リストから、オーディエンス を選択します。

      • 組み込み済みクライアントオーディエンス リストから、Satellite で使用するクライアントを選択します。

        詳細は、『Red Hat Single Sign On Server Administration Guide』の「Audience Support」を参照してください。

   5. 保存 をクリックします。

   6. Mapper タブをクリックして 作成 をクリックし、グループメンバーシップをもとに Satellite の認証を指定できるようにグループマッパーを追加します。グループマッパーに以下の値を設定します。

      • マッパータイプ リストから、グループメンバーシップ を選択します。
      • トークンクレーム名 リストから グループ を選択します。

      • フルグループパス のトグルを OFF に設定します。

        グループマッパーの詳細は、『Red Hat Single Sign-On Server Administration Guide』の「LDAP Mappers」セクションの Group Mapper を参照してください。

   7. 保存 をクリックします。

9. Satellite で、ログイン委任を true に設定し、ユーザーが Open IDC プロトコルを使用して認証できるようにします。

   # hammer settings set --name authorize_login_delegation --value true

   Copy to Clipboard Toggle word wrap

10. ログイン認証を外部ソースに設定します。

    # hammer settings set --name authorize_login_delegation_auth_source_user_autocreate --value External

    Copy to Clipboard Toggle word wrap

11. ログイン委任のログアウト URL を以下のように設定します。

    # hammer settings set --name login_delegation_logout_url \
    --value https://satellite.example.com/users/extlogout

    Copy to Clipboard Toggle word wrap

12. Red Hat Single Sign On のエンコーティングのアルゴリズムを設定します (例: RS256)。

    # hammer settings set --name oidc_algorithm --value 'RS256'

    Copy to Clipboard Toggle word wrap
13. URL RHSSO.example.com/auth/realms/RHSSO_REALM/.well-known/openid-configuration を開いて値をメモし、以下のステップのオプションに入力します。

14. Open IDC オーディエンスの値を設定します。

    # hammer settings set --name oidc_audience \
    --value "['satellite.example.com']"

    Copy to Clipboard Toggle word wrap

15. Open IDC 発行者の値を設定します。

    # hammer settings set --name oidc_issuer \
    --value "RHSSO.example.com/auth/realms/RHSSO_Realm"

    Copy to Clipboard Toggle word wrap

16. Open IDC Java Web Token (JWT) の値を設定します。

    # hammer settings set --name oidc_jwks_url \
    --value "RHSSO.example.com/auth/realms/RHSSO_Realm/protocol/openid-connect/certs"

    Copy to Clipboard Toggle word wrap

17. BZ#1792131 が解決されるまで、Hammer CLI を使用して組織とロケーションを設定する必要があります。組織とロケーションを設定するには、まず Red Hat Single Sign-On 認証ソースの ID を取得する必要があります。

    # hammer auth-source external list

    Copy to Clipboard Toggle word wrap

18. ロケーションと組織を設定します。

    # hammer auth-source external update --id Authentication Source ID \
    --location-ids Location ID --organization-ids Organization ID

    Copy to Clipboard Toggle word wrap

19. 二要素認証を使用して認証するには、以下のコマンドを入力します。

    # hammer auth login oauth \
    --two-factor \
    --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
    --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
    --oidc-client-id 'satellite.example.com-foreman-openidc' \
    --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

    Copy to Clipboard Toggle word wrap

    このコマンドは、サクセスコードの入力を要求します。サクセスコードを取得するには、コマンドが返す URL に移動し、必要な情報を提供します。