8.2. 직접 인증을 위해 외부 OIDC ID 공급자 구성

프로세스

1. 설치 프로그램에서 생성된 kubeconfig 파일 또는 다른 장기 로그인 방법을 클러스터 관리자로 사용하고 있는지 확인합니다.

2. 다음 명령을 실행하여 웹 콘솔로 인증할 수 있는 보안을 생성합니다.

   $ oc create secret generic console-secret \
       --from-literal=clientSecret=<secret_value> \

   1

   
       -n openshift-config

   Copy to Clipboard Toggle word wrap

   1

   & lt;secret_value >를 ID 공급자의 console-test 클라이언트의 보안 값으로 바꿉니다.

3. 선택 사항: 다음 명령을 실행하여 공급자의 인증 기관 번들이 포함된 구성 맵을 생성합니다.

   $ oc create configmap keycloak-oidc-ca --from-file=ca-bundle.crt=my-directory/ca-bundle.crt \

   1

   
       -n openshift-config

   Copy to Clipboard Toggle word wrap

   1

   공급자의 ca-bundle.crt 파일의 경로를 지정합니다.

4. 다음 명령을 실행하여 인증 구성을 편집합니다.

   $ oc edit authentication.config/cluster

   Copy to Clipboard Toggle word wrap

5. type 필드를 OIDC 로 설정하고, 공급자의 oidcProviders 필드를 구성하고, webhookTokenAuthenticator 필드를 null 로 설정하여 인증 구성을 업데이트합니다.

   apiVersion: config.openshift.io/v1
   kind: Authentication
   metadata:
   # ...
   spec:
     oidcProviders: 

   1

   
     - claimMappings:
         groups:
           claim: groups 

   2

   
           prefix: 'oidc-groups-test:'
         username:
           claim: email 

   3

   
           prefixPolicy: Prefix
           prefix:
             prefixString: 'oidc-user-test:'
       issuer:
         audiences: 

   4

   
         - console-test
         - oc-cli-test
         issuerCertificateAuthority:
           name: keycloak-oidc-ca 

   5

   
         issuerURL: https://keycloak-keycloak.apps.example.com/realms/master 

   6

   
       name: 'keycloak-oidc-server' 

   7

   
       oidcClients:
       - clientID: oc-cli-test 

   8

   
         componentName: cli
         componentNamespace: openshift-console
       - clientID: console-test 

   9

   
         clientSecret:
           name: console-secret 

   10

   
         componentName: console
         componentNamespace: openshift-console
     type: OIDC 

   11

   
     webhookTokenAuthenticator: null 

   12

   Copy to Clipboard Toggle word wrap

   1

   OIDC 공급자 구성입니다. 현재는 하나의 OIDC 공급자 구성만 허용됩니다.

   2

   클러스터 ID에 대한 그룹 이름을 구성하는 클레임의 이름입니다.

   3

   클러스터 ID의 사용자 이름을 구성하는 클레임의 이름입니다.

   4

   이 인증 공급자가 토큰을 발행하는 대상 목록입니다.

   5

   ca-bundle.crt 키가 포함된 구성 맵의 이름입니다. 설정되지 않은 경우 시스템 신뢰가 대신 사용됩니다.

   6

   토큰 발행자의 URL입니다.

   7

   외부 OIDC 공급자의 이름입니다.

   8

   공급자가 OpenShift CLI(oc)에 사용하는 클라이언트 ID입니다.

   9

   공급자가 OpenShift Container Platform 웹 콘솔에 사용하는 클라이언트 ID입니다.

   10

   콘솔 클라이언트의 시크릿 값을 저장하는 시크릿의 이름입니다.

   11

   외부 OIDC ID 공급자를 사용하도록 지정하려면 OIDC로 설정해야 합니다.

   12

   type 이 OIDC 로 설정된 경우 null 로 설정해야 합니다.

   사용 가능한 모든 매개변수에 대한 자세한 내용은 "OIDC 공급자 구성 매개변수"를 참조하십시오.

6. 변경 사항을 종료하고 저장하여 새 구성을 적용합니다.

7. 클러스터가 모든 노드에 새 버전을 롤아웃할 때까지 기다립니다.

   1. 다음 명령을 실행하여 Kubernetes API 서버 Operator 상태를 확인합니다.

      $ oc get co kube-apiserver

      Copy to Clipboard Toggle word wrap

      출력 예

      NAME             VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE   MESSAGE
      kube-apiserver   4.19.0    True        True          False      85m     NodeInstallerProgressing: 2 node are at revision 8; 1 node is at revision 10

      Copy to Clipboard Toggle word wrap

      위 예제의 메시지는 하나의 노드가 새 버전으로 진행되었으며 두 노드가 아직 업데이트되지 않았음을 보여줍니다. 클러스터 크기에 따라 모든 노드에 새 버전을 롤아웃하는 데 20분 이상 걸릴 수 있습니다.

   2. 문제를 해결하려면 Cluster Authentication Operator 및 kube-apiserver Pod 로그에서 오류가 있는지 확인할 수도 있습니다.

검증

1. ID 공급자로 인증하여 OpenShift CLI(oc)에 로그인할 수 있는지 확인합니다.

   1. 다음 명령을 실행하여 로그인합니다.

      $ oc login --exec-plugin=oc-oidc \

      1

      
          --issuer-url=https://keycloak-keycloak.apps.example.com/realms/master \

      2

      
          --client-id=oc-cli-test \

      3

      
          --extra-scopes=email --callback-port=8080 \
          --oidc-certificate-authority my-directory/ca-bundle.crt 

      4

      Copy to Clipboard Toggle word wrap

      1

      oc-oidc 를 exec 플러그인 유형으로 지정합니다. oc-oidc 의 값만 허용됩니다.

      2

      ID 공급자의 발행자 URL을 지정합니다.

      3

      OpenShift CLI(oc)의 클라이언트 ID를 지정합니다.

      4

      로컬 머신의 ca-bundle.crt 파일의 경로를 지정합니다.

      출력 예

      Please visit the following URL in your browser: http://localhost:8080

      Copy to Clipboard Toggle word wrap

   2. 브라우저에서 http://localhost:8080 를 엽니다.

   3. ID 공급자의 인증 정보로 인증합니다.

      성공적으로 인증한 후 터미널에 다음 출력과 유사한 메시지가 표시됩니다.

      Logged into "https://api.my-cluster.example.com:6443" as "oidc-user-test:user1@example.com" from an external oidc issuer.

      Copy to Clipboard Toggle word wrap

2. ID 공급자로 인증하여 OpenShift Container Platform 웹 콘솔에 로그인할 수 있는지 확인합니다.

   1. 브라우저에서 클러스터의 웹 콘솔 URL을 엽니다.

      로그인할 ID 공급자로 리디렉션됩니다.

   2. ID 공급자의 인증 정보로 인증합니다.

      성공적으로 로그인하여 OpenShift Container Platform 웹 콘솔로 리디렉션되었는지 확인합니다.