2.11. 대시보드와 함께 SSO(Single Sign-On) 사용

프로세스

1. Red Hat Ceph Storage가 설치된 시스템에서 Red Hat Single Sign-On 7.4.0 서버 를 다운로드합니다.

2. 폴더의 압축을 풉니다.

   [root@host01 ~]# unzip rhsso-7.4.0.zip

   Copy to Clipboard Toggle word wrap

3. standalone/configuration 디렉터리로 이동하고 편집을 위해 standalone.xml 을 엽니다.

   [root@host01 ~]# cd standalone/configuration
   [root@host01 configuration]# vi standalone.xml

   Copy to Clipboard Toggle word wrap

4. 새로 생성된 rhsso-7.4.0 폴더의 bin 디렉토리에서 add-user-keycloak 스크립트를 실행하여 초기 관리자를 추가합니다.

   [root@host01 bin]# ./add-user-keycloak.sh -u admin

   Copy to Clipboard Toggle word wrap
5. localhost 의 모든 인스턴스와 127.0.0.1 의 두 인스턴스를 Red Hat SSO가 설치된 시스템의 IP 주소로 바꿉니다.

6. 서버를 시작합니다. rh-sso-7.4 폴더의 bin 디렉터리에서 독립 실행형 부팅 스크립트를 실행합니다.

   [root@host01 bin]# ./standalone.sh

   Copy to Clipboard Toggle word wrap

7. 사용자 이름과 암호를 사용하여 https: IP_ADDRESS :8080/auth에 관리자 계정을 생성합니다.

   참고

   콘솔에 처음 로그인할 때만 관리자 계정을 생성해야 합니다.

8. 생성된 자격 증명을 사용하여 관리자 콘솔에 로그인합니다.

프로세스

1. 영역을 생성하려면 마스터 드롭다운 메뉴를 클릭합니다. 이 영역에서는 사용자와 애플리케이션에 대한 액세스를 제공할 수 있습니다.

2. Add Cryostat 창에서 대/소문자 구분 영역 이름을 입력하고 매개 변수를 ON으로 설정하고 만들기를 클릭합니다.In the Add Cryostat window, enter a case-sensitive realm name and set the parameter Enabled to ON and click Create:.

   

   View larger image

   

3. Cryo stat 설정 탭에서 다음 매개변수를 설정하고 저장을 클릭합니다 :

   1. 활성화됨 - ON
   2. 사용자 관리 액세스 - ON

   3. 클라이언트 설정에 붙여넣을 SAML 2.0 ID 공급자 메타데이터의 링크 주소를 기록합니다.

      

      View larger image

      

4. 클라이언트 탭에서 생성 을 클릭합니다.

   

   View larger image

   

5. 클라이언트 추가 창에서 다음 매개변수를 설정하고 저장을 클릭합니다.

   1. 클라이언트 ID - BASE_URL:8443/auth/saml2/metadata

      예

      https://example.ceph.redhat.com:8443/auth/saml2/metadata

   2. 클라이언트 프로토콜 - saml

6. 클라이언트 창의 설정 탭에서 다음 매개변수를 설정합니다.

   Expand

   표 2.2. 클라이언트 설정 탭

   매개변수의 이름	구문	예
   클라이언트 ID	BASE_URL:8443/auth/saml2/metadata	https://example.ceph.redhat.com:8443/auth/saml2/metadata
   활성화됨	ON	ON
   클라이언트 프로토콜	saml	saml
   AuthnStatement 포함	ON	ON
   문서 서명	ON	ON
   서명 알고리즘	RSA_SHA1	RSA_SHA1
   SAML 서명 키 이름	KEY_ID	KEY_ID
   유효한 리디렉션 URL	BASE_URL:8443/*	https://example.ceph.redhat.com:8443/*
   기본 URL	BASE_URL:8443	https://example.ceph.redhat.com:8443/
   마스터 SAML 처리 URL	https://localhost:8080/auth/realms/realM_NAME/protocol/saml/descriptor	https://localhost:8080/auth/realms/Ceph_LDAP/protocol/saml/descriptor

   Show more
   참고

   Cryostat 설정 탭에서 SAML 2.0 ID 공급자 메타데이터 링크를 붙여넣습니다.

   Fine Grain SAML Endpoint Configuration에서 다음 매개변수를 설정하고 저장을 클릭합니다.

   Expand

   표 2.3. 고급 Grain SAML 구성

   매개변수의 이름	구문	예
   어설션 소비자 서비스 POST 바인딩 URL	BASE_URL:8443/#/dashboard	https://example.ceph.redhat.com:8443/#/dashboard
   어설션 소비자 서비스 리디렉션 바인딩 URL	BASE_URL:8443/#/dashboard	https://example.ceph.redhat.com:8443/#/dashboard
   로그 아웃 서비스 리디렉션 바인딩 URL	BASE_URL:8443/	https://example.ceph.redhat.com:8443/

   Show more

7. 클라이언트 창에서 Mappers 탭에서 다음 매개변수를 설정하고 저장을 클릭합니다.

   Expand

   표 2.4. 클라이언트 매퍼 탭

   매개변수의 이름	현재의
   프로토콜	saml
   이름	사용자 이름
   매퍼 속성	사용자 속성
   속성	사용자 이름
   SAML 속성 이름	사용자 이름

   Show more

8. 클라이언트 범위 탭에서 role_list:을 선택합니다.

   1. Mappers 탭에서 역할 목록을 선택하고 단일 역할 속성을 ON으로 설정합니다.

9. User_Federation 탭을 선택합니다.

   1. 사용자 페더레이션 창의 드롭다운 메뉴에서 ldap 를 선택합니다.

   2. User_Federation 창에서 설정 탭에서 다음 매개변수를 설정하고 저장을 클릭합니다.

      Expand

      표 2.5. 사용자 페더레이션 설정 탭

      매개변수의 이름	현재의
      콘솔 표시 이름	rh-ldap
      사용자 가져오기	ON
      Edit_Mode	READ_ONLY
      사용자 이름 LDAP 속성	사용자 이름
      RDN LDAP 특성	사용자 이름
      UUID LDAP 속성	nsuniqueid
      사용자 오브젝트 클래스	inetOrgPerson, organizationalPerson, rhatPerson
      연결 URL	예: ldap://ldap.corp.redhat.com에서 테스트 연결을 클릭합니다. LDAP 연결에 성공했다는 알림이 표시됩니다.
      사용자 DN	ou=users, dc=example, dc=com
      바인딩 유형	simple

      Show more

      인증 테스트를 클릭합니다. LDAP 인증이 성공했다는 알림이 표시됩니다.

   3. Mappers 탭에서 첫 번째 이름 행을 선택하고 다음 매개변수를 편집하고 저장을 클릭합니다.

      • LDAP 속성 - givenName

   4. User_Federation 탭에서 설정 탭에서 모든 사용자 동기화 를 클릭합니다.

      

      View larger image

      

      사용자 동기화가 성공적으로 완료되었다는 알림이 표시됩니다.

10. 사용자 탭에서 대시보드에 추가된 사용자를 검색하고 검색 아이콘을 클릭합니다.

    

    View larger image

    

11. 사용자를 보려면 특정 행을 클릭합니다. 페더레이션 링크가 사용자 페더레이션 에 제공된 이름으로 표시되어야 합니다.

    

    View larger image

    
    중요

    사용자가 LDAP에서 동기화되지 않으므로 사용자를 수동으로 추가하지 마십시오. 수동으로 추가하는 경우 삭제를 클릭하여 사용자를 삭제합니다.

    참고

    Red Hat SSO가 현재 작업 환경에서 사용 중인 경우 먼저 SSO를 활성화해야 합니다. 자세한 내용은 Red Hat Ceph Storage 대시보드 가이드의 Ceph 대시보드용 SAMLE 2.0을 사용하여 Single Sign-On 활성화 섹션을 참조하십시오.

프로세스

1. Ceph 대시보드에서 SSO를 구성하려면 다음 명령을 실행합니다.

   구문

   cephadm shell CEPH_MGR_HOST ceph dashboard sso setup saml2 CEPH_DASHBOARD_BASE_URL IDP_METADATA IDP_USERNAME_ATTRIBUTE IDP_ENTITY_ID SP_X_509_CERT SP_PRIVATE_KEY

   Copy to Clipboard Toggle word wrap

   예

   [root@host01 ~]# cephadm shell host01 ceph dashboard sso setup saml2 https://dashboard_hostname.ceph.redhat.com:8443 idp-metadata.xml username https://10.70.59.125:8080/auth/realms/realm_name /home/certificate.txt /home/private-key.txt

   Copy to Clipboard Toggle word wrap

   대체 버전

   • Ceph mgr 호스트가 있는 CEPH_MGR_HOST. 예: host01
   • Ceph 대시보드에 액세스할 수 있는 기본 URL이 있는 CEPH_DASHBOARD_BASE_URL.
   • IDP_METADATA 와 원격 경로 또는 IdP 메타데이터 XML 콘텐츠에 대한 URL입니다. 지원되는 URL 유형은 http, https 및 file입니다.
   • 선택 사항:IDP_USERNAME_ATTRIBUTE 인증 응답에서 사용자 이름을 가져오는 데 사용되는 속성입니다. 기본값은 uid 입니다.
   • 선택 사항: IdP 메타데이터에 둘 이상의 엔터티 ID가 있는 경우 IdP 엔터티 ID가 있는IDP_ENTITY_ID 입니다.
   • 선택 사항:SP_X_509_CERT 와 서명 및 암호화에 Ceph Dashboard에서 사용하는 인증서의 파일 경로가 포함됩니다.
   • 선택 사항: 서명 및 암호화에 Ceph Dashboard에서 사용하는 개인 키의 파일 경로가 있는SP_PRIVATE_KEY 입니다.

2. 현재 SAML 2.0 구성을 확인합니다.

   구문

   cephadm shell CEPH_MGR_HOST ceph dashboard sso show saml2

   Copy to Clipboard Toggle word wrap

   예

   [root@host01 ~]#  cephadm shell host01 ceph dashboard sso show saml2

   Copy to Clipboard Toggle word wrap

3. SSO를 활성화하려면 다음 명령을 실행합니다.

   구문

   cephadm shell CEPH_MGR_HOST ceph dashboard sso enable saml2
   SSO is "enabled" with "SAML2" protocol.

   Copy to Clipboard Toggle word wrap

   예

   [root@host01 ~]#  cephadm shell host01 ceph dashboard sso enable saml2

   Copy to Clipboard Toggle word wrap

4. 대시보드 URL을 엽니다.

   예

   https://dashboard_hostname.ceph.redhat.com:8443

   Copy to Clipboard Toggle word wrap

5. SSO 페이지에서 로그인 자격 증명을 입력합니다. SSO는 대시보드 웹 인터페이스로 리디렉션됩니다.

프로세스

1. Red Hat SSO에 영역을 생성합니다.

   1. 마스터 드롭 다운 메뉴를 클릭하고 추가를 선택합니다.
   2. 영역에 대한 대소문자를 구분하지 않는 이름을 입력합니다.
   3. 설정됨 Cryo stat에 대해 설정 하 고 만들기 를 클릭 합니다.

2. 영역 설정을 구성합니다.

   1. 설정 탭 으로 이동합니다.
   2. Enabled 를 ON 으로 설정하고 User-Managed Access 를 ON 으로 설정합니다.
3. *Save*를 클릭합니다.
4. CryostatOpenID Endpoint Configuration CryostatURL을 복사합니다. OAuth2 프록시 설정에 대해 이 구성의 Cryostatissuer>-<endpoint를 사용합니다.

1. OIDC 클라이언트를 생성하고 구성합니다.

   1. CryostatOpenID Connect 유형의 클라이언트를 만듭니다.
   2. 클라이언트 인증 및 권한 부여를 활성화합니다.

   3. 리디렉션 URL을 설정합니다.

      • 유효한 리디렉션 URL: https://<host_name|IP_address>/oauth2/callback
      • 유효한 로그 아웃 리디렉션 URL: https://<host_name|IP_address>/oauth2/sign_out
   4. 인증 정보 탭으로 이동하여 Cryostatclient_id Cryostatand Cryostatclient_secret의 값을 기록해 둡니다. 이 인증 정보는 Cryostatoauth2-proxy Cryostatservice를 구성하는 데 필요합니다.

2. 대시보드 액세스에 대한 역할을 만듭니다.

   1. Roles (역할) 탭으로 이동합니다.
   2. 역할을 생성하고 OIDC 클라이언트에 할당합니다.
   3. IBM Storage Ceph 대시보드에서 지원하는 역할 이름을 사용합니다.

3. 사용자를 생성하고 역할을 할당합니다.

   1. 새 사용자를 생성합니다.
   2. 사용자 자격 증명을 정의합니다.
   3. CryostatRole Mappings Cryostattab을 열고 이전에 만든 역할을 사용자에게 할당합니다.

4. 대시보드에 대해 SSO를 활성화합니다.

   구문

   ceph dashboard sso enable

   Copy to Clipboard Toggle word wrap

프로세스

1. IBM Security Verify 애플리케이션에서 Applications > Application 으로 이동하여 Add an Application 을 클릭합니다.
2. 애플리케이션 유형에서 사용자 지정 애플리케이션을 선택하고 애플리케이션 추가 를 클릭합니다.
3. General (일반) 탭에 회사 이름을 추가합니다.
4. Sign-on 탭으로 이동하여 Sign-on Method 드롭다운 목록에서 Open ID Connect 1.0을 선택합니다.

5. Application URL 섹션에 mgmt-gateway URL을 입력합니다.

   예제

   https://<HOSTNAME/IP_OF_THE_MGMT-GATEWAY_HOST>

   Copy to Clipboard Toggle word wrap

6. PKCE 확인 확인란을 지웁니다.

7. 리디렉션 URI 섹션에서 URI를 리디렉션합니다. 다음 리디렉션 URL 형식을 사용합니다.

   • https://<HOSTNAME/IP_OF_THE_MGMT-GATEWAY_HOST>/oauth2/callback.
   • https://<HOSTNAME/IP_OF_THE_MGMT-GATEWAY_HOST>/oauth2/sign_out.

8. 토큰 설정에서 액세스 토큰 형식으로 JWT 를 선택합니다. 다음 속성 각각에 대해 해당 필드에 세부 정보를 입력한 다음 드롭다운 목록에서 해당 특성 소스를 선택합니다.

   • name | preferred_username
   • 이메일 | 이메일
9. 동의 설정에서 드롭다운 목록에서 동의를 요청하지 않음을 선택합니다.
10. 사용자 지정 범위 에서 사용자 지정 범위 제한 확인란을 지우고 저장을 클릭합니다.

11. 사용자를 추가합니다.

    1. Directory > Users & Groups 로 이동하여 사용자 추가를 클릭합니다.
    2. 원하는 사용자 이름과 이메일 주소를 입력합니다. 초기 사용자 인증 정보는 제공된 이메일 주소로 전송됩니다.
    3. 저장을 클릭합니다.

12. 디렉터리 > 속성으로 이동하여 속성 추가 를 클릭합니다.

    1. Custom Attribute를 선택한 다음 SSO(Single Sign On) 확인란을 선택합니다. 다음을 클릭합니다.
    2. 특성 이름 필드에 역할을 입력합니다.
    3. 데이터 유형 에서 드롭다운 목록에서 다중 값 문자열을 선택합니다.
    4. 추가 설정을 클릭하고 적용 드롭다운 목록에서 소문자를 선택하고 다음을 클릭합니다.
    5. 속성 추가를 클릭합니다.

13. Directory > Users & Groups 로 이동하여 새로 추가된 사용자를 편집합니다.

    1. View Extended Profile 을 선택합니다.
    2. 사용자 지정 사용자 속성에서 원하는 대시보드 역할을 추가합니다. 예를 들어 관리자, 읽기 전용, block-manager 등이 있습니다. 이 사용자는 대시보드 역할을 자동으로 상속합니다.
    3. Save settings 를 클릭합니다.

14. Applications > Application으로 이동하여 2단계에서 생성된 사용자 지정 애플리케이션의 설정 아이콘을 클릭합니다.

    1. 로그인 탭에서 *토큰 설정*s로 이동합니다.
    2. roles 속성의 경우 해당 필드에 세부 정보를 입력한 다음 드롭다운 목록: 역할 | 역할에서 해당 특성 소스를 선택합니다.
    3. 인타이틀먼트 탭에서 새로 생성된 사용자를 추가하고 저장을 클릭합니다.

프로세스

1. Ceph 대시보드 OAuth2 SSO 액세스를 활성화합니다.

   구문

   ceph dashboard sso enable oauth2

   Copy to Clipboard Toggle word wrap

   예제

   [ceph: root@host01 /]# ceph dashboard sso enable oauth2
   SSO is "enabled" with "oauth2" protocol.

   Copy to Clipboard Toggle word wrap

2. 유효한 리디렉션 URL을 설정합니다.

   구문

   https://HOST_NAME|IP_ADDRESS/oauth2/callback

   Copy to Clipboard Toggle word wrap

   참고

   이 URL은 OAuth2 프록시 서비스에 구성된 것과 동일한 리디렉션 URL이어야 합니다.

3. 유효한 사용자 역할을 구성합니다.

   참고

   Administrator 역할의 경우 관리자 또는 읽기 전용 액세스 권한을 사용하여 IDP 사용자를 구성합니다.

4. 대시보드 URL을 엽니다.

   예제

   https://<hostname/ip address of mgmt-gateway host>

   Copy to Clipboard Toggle word wrap

5. SSO 페이지에서 IdM(Identity Provider) 자격 증명을 입력합니다. SSO는 대시보드 웹 인터페이스로 리디렉션됩니다.

프로세스

1. SSO의 상태를 보려면 다음 명령을 실행합니다.

   구문

   cephadm shell CEPH_MGR_HOST ceph dashboard sso status

   Copy to Clipboard Toggle word wrap

   예제

   [root@host01 ~]#  cephadm shell host01 ceph dashboard sso status
   SSO is "enabled" with "SAML2" protocol.

   Copy to Clipboard Toggle word wrap

2. SSO를 비활성화하려면 다음 명령을 실행합니다.

   구문

   cephadm shell CEPH_MGR_HOST ceph dashboard sso disable
   SSO is "disabled".

   Copy to Clipboard Toggle word wrap

   예제

   [root@host01 ~]#  cephadm shell host01 ceph dashboard sso disable

   Copy to Clipboard Toggle word wrap