8.2. 직접 인증을 위해 외부 OIDC ID 공급자 구성

프로세스

1. 설치 프로그램에서 생성된 kubeconfig 파일을 사용하거나 클러스터 관리자로 로그인하는 다른 장기적 방법을 사용하고 있는지 확인하세요.

2. 다음 명령을 실행하여 웹 콘솔에서 인증할 수 있는 비밀을 만듭니다.

   $ oc create secret generic console-secret \
       --from-literal=clientSecret=<secret_value> \

   1

   
       -n openshift-config

   Copy to Clipboard Toggle word wrap

   1

   <secret_value>를 ID 공급자의 콘솔 테스트 클라이언트에 대한 비밀번호 값으로 바꾸세요.

3. 선택 사항: 다음 명령을 실행하여 공급자의 인증 기관 번들을 포함하는 구성 맵을 만듭니다.

   $ oc create configmap keycloak-oidc-ca --from-file=ca-bundle.crt=my-directory/ca-bundle.crt \

   1

   
       -n openshift-config

   Copy to Clipboard Toggle word wrap

   1

   제공자의 ca-bundle.crt 파일 경로를 지정하세요.

4. 다음 명령을 실행하여 인증 구성을 편집합니다.

   $ oc edit authentication.config/cluster

   Copy to Clipboard Toggle word wrap

5. 유형 필드를 OIDC 로 설정하고, 공급자에 대한 oidcProviders 필드를 구성하고, webhookTokenAuthenticator 필드를 null 로 설정하여 인증 구성을 업데이트합니다.

   apiVersion: config.openshift.io/v1
   kind: Authentication
   metadata:
   # ...
   spec:
     oidcProviders: 

   1

   
     - claimMappings:
         groups:
           claim: groups 

   2

   
           prefix: 'oidc-groups-test:'
         username:
           claim: email 

   3

   
           prefixPolicy: Prefix
           prefix:
             prefixString: 'oidc-user-test:'
       issuer:
         audiences: 

   4

   
         - console-test
         - oc-cli-test
         issuerCertificateAuthority:
           name: keycloak-oidc-ca 

   5

   
         issuerURL: https://keycloak-keycloak.apps.example.com/realms/master 

   6

   
       name: 'keycloak-oidc-server' 

   7

   
       oidcClients:
       - clientID: oc-cli-test 

   8

   
         componentName: cli
         componentNamespace: openshift-console
       - clientID: console-test 

   9

   
         clientSecret:
           name: console-secret 

   10

   
         componentName: console
         componentNamespace: openshift-console
     type: OIDC 

   11

   
     webhookTokenAuthenticator: null 

   12

   Copy to Clipboard Toggle word wrap

   1

   OIDC 공급자 구성입니다. 현재는 OIDC 공급자 구성이 하나만 허용됩니다.

   2

   클러스터 ID에 대한 그룹 이름을 구성하는 클레임의 이름입니다.

   3

   클러스터 ID에 대한 사용자 이름을 구성하는 클레임의 이름입니다.

   4

   이 인증 공급자가 토큰을 발급하는 대상 목록입니다.

   5

   ca-bundle.crt 키가 포함된 구성 맵의 이름입니다. 설정하지 않으면 시스템 신뢰가 대신 사용됩니다.

   6

   토큰 발급자의 URL입니다.

   7

   외부 OIDC 공급자의 이름입니다.

   8

   공급자가 OpenShift CLI( oc )에 사용하는 클라이언트 ID입니다.

   9

   공급자가 OpenShift Container Platform 웹 콘솔에 사용하는 클라이언트 ID입니다.

   10

   콘솔 클라이언트에 대한 비밀 값을 저장하는 비밀의 이름입니다.

   11

   외부 OIDC ID 공급자를 사용하려면 OIDC 로 설정해야 합니다.

   12

   유형이 OIDC 로 설정된 경우 null 로 설정해야 합니다.

   사용 가능한 모든 매개변수에 대한 자세한 내용은 "OIDC 공급자 구성 매개변수"를 참조하세요.

6. 종료하고 변경 사항을 저장하여 새 구성을 적용합니다.

7. 클러스터가 모든 노드에 새로운 개정판을 롤아웃할 때까지 기다립니다.

   1. 다음 명령을 실행하여 Kubernetes API 서버 운영자 상태를 확인하세요.

      $ oc get co kube-apiserver

      Copy to Clipboard Toggle word wrap

      출력 예

      NAME             VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE   MESSAGE
      kube-apiserver   4.19.0    True        True          False      85m     NodeInstallerProgressing: 2 node are at revision 8; 1 node is at revision 10

      Copy to Clipboard Toggle word wrap

      이전 예의 메시지는 한 노드가 새로운 개정판으로 진행되었고 두 노드는 아직 업데이트되지 않았음을 보여줍니다. 클러스터 크기에 따라 모든 노드에 새로운 개정판을 적용하는 데 20분 이상 걸릴 수 있습니다.

   2. 문제를 해결하려면 Cluster Authentication Operator 및 kube-apiserver Pod 로그에서 오류를 확인할 수도 있습니다.

검증

1. ID 공급자를 통해 인증하여 OpenShift CLI( oc )에 로그인할 수 있는지 확인하세요.

   1. 다음 명령을 실행하여 로그인하세요.

      $ oc login --exec-plugin=oc-oidc \

      1

      
          --issuer-url=https://keycloak-keycloak.apps.example.com/realms/master \

      2

      
          --client-id=oc-cli-test \

      3

      
          --extra-scopes=email --callback-port=8080 \
          --oidc-certificate-authority my-directory/ca-bundle.crt 

      4

      Copy to Clipboard Toggle word wrap

      1

      exec 플러그인 유형으로 oc-oidc를 지정합니다. oc-oidc 값만 허용됩니다.

      2

      ID 공급자의 발행자 URL을 지정합니다.

      3

      OpenShift CLI( oc )에 대한 클라이언트 ID를 지정합니다.

      4

      로컬 컴퓨터의 ca-bundle.crt 파일 경로를 지정하세요.

      출력 예

      Please visit the following URL in your browser: http://localhost:8080

      Copy to Clipboard Toggle word wrap

   2. 브라우저에서 http://localhost:8080을 엽니다.

   3. 신원 제공자의 자격 증명을 사용하여 인증합니다.

      성공적으로 인증되면 터미널에 다음 출력과 비슷한 메시지가 표시됩니다.

      Logged into "https://api.my-cluster.example.com:6443" as "oidc-user-test:user1@example.com" from an external oidc issuer.

      Copy to Clipboard Toggle word wrap

2. ID 공급자를 통해 인증하여 OpenShift Container Platform 웹 콘솔에 로그인할 수 있는지 확인하세요.

   1. 브라우저에서 클러스터의 웹 콘솔 URL을 엽니다.

      로그인을 위해 ID 공급자로 리디렉션됩니다.

   2. 신원 제공자의 자격 증명을 사용하여 인증합니다.

      성공적으로 로그인했고 OpenShift Container Platform 웹 콘솔로 리디렉션되었는지 확인하세요.