9.6. 고급 인증 필드 참조

issuer.discoveryURL

선택적 매개변수입니다. 비표준 위치에서 ID 공급자 메타데이터를 검색하기 위한 사용자 정의 OIDC 검색 끝점 URL입니다.

요구 사항:

지정하지 않으면 OpenShift Container Platform에서 표준 OIDC 형식 {issuerURL}/.well-known/openid-configuration 을 사용하여 검색 URL을 구성합니다.

예제:

issuer:
  issuerURL: https://idp.example.com
  discoveryURL: https://custom-discovery.example.com/.well-known/openid-configuration

claimValidationRules

선택적 매개변수입니다. CEL(Common Expression Language) 표현식을 사용한 JWT 토큰 클레임에 대한 검증 규칙 배열입니다. 인증이 성공하려면 모든 규칙이 true 로 평가되어야 합니다(AND 작업).

각 규칙은 다음과 같습니다.

CEL 표현식은 클레임 변수(예: claims.sub)를 사용하여 클레임 클레임에 액세스합니다.

예제:

claimValidationRules:
- type: CEL
  cel:
    expression: 'claims.exp - claims.nbf <= 86400'
    message: 'Total token lifetime must not exceed 24 hours'
- type: CEL
  cel:
    expression: 'has(claims.email) && claims.email.contains("@example.com")'
    message: 'Email claim must be present and from example.com domain'

claimValidationRules[].type

필수 항목입니다. 검증 규칙 유형. CEL 기반 검증을 위해 CEL로 설정합니다. cel 필드가 필요합니다.

claimValidationRules[].cel

type 이 CEL 인 경우 필수 항목입니다. 평가할 표현식 (CEL 표현식) 및 메시지 (오류 텍스트)를 포함합니다.

claimValidationRules[].cel.expression

필수 항목입니다. 토큰 클레임을 확인하는 CEL 표현식입니다. 인증이 성공하려면 true 로 평가해야 합니다.

제약 조건: 1-1024 문자는 부울로 평가되어야 합니다.

클레임 변수를 사용하여 액세스 클레임: claims.sub,claims.foo.bar (nested) has (claims.email) (existence check).

claimValidationRules[].cel.message

필수 항목입니다. 유효성 검사가 실패할 때 표시되는 오류 메시지입니다. 제한 조건: 1-256 문자.

userValidationRules

선택적 매개변수입니다. CEL 표현식을 사용하여 사용자 오브젝트에 대한 검증 규칙 배열입니다. 인증이 성공하려면 모든 규칙이 true 로 평가되어야 합니다(AND 작업).

각 규칙에는 표현식 ( true로 평가되어야 함) 및 메시지 (오류 텍스트)가 있습니다.

CEL 표현식은 user .username(문자열), user. groups (array), user.uid (문자열), user.extra (map)를 사용하여 사용자 오브젝트에 액세스합니다.

예제:

userValidationRules:
- expression: "!user.username.startsWith('system:')"
  message: 'Username cannot use reserved system: prefix'
- expression: "!user.groups.exists(g, g.startsWith('system:'))"
  message: 'Groups cannot use reserved system: prefix'

userValidationRules[].expression

필수 항목입니다. 사용자 오브젝트의 유효성을 검사하는 CEL 표현식입니다. 인증이 성공하려면 true 로 평가해야 합니다.

제약 조건: 1-1024 문자는 부울로 평가되어야 합니다.

사용자 필드 액세스: user.username.startsWith('system:'), user.groups.exists(g, g == "admin"), user.extra["example.com/role"].

userValidationRules[].message

필수 항목입니다. 유효성 검사가 실패할 때 표시되는 오류 메시지입니다. 비워 둘 수 없습니다.