액세스 제어 및 사용자 관리

프로세스

1. argocd CR을 편집합니다.

   $ oc edit argocd [argocd-instance-name] -n [namespace]

   출력 결과

   metadata
   ...
   ...
     rbac:
       policy: 'g, rbacsystem:cluster-admins, role:admin'
       scopes: '[groups]'

2. rbac 섹션에 정책 구성을 추가하고 사용자에게 적용할 이름과 원하는 역할을 추가합니다.

   metadata
   ...
   ...
   rbac:
       policy: g, <name>, role:<admin>
       scopes: '[groups]'

1. Argo CD CR(사용자 정의 리소스)에서 .spec.sso.dex 매개변수를 제거하고 CR을 저장하여 Dex 구성을 삭제합니다.

   dex:
       openShiftOAuth: true
       resources:
         limits:
           cpu:
           memory:
         requests:
           cpu:
           memory:

2. Argo CD CR에서 provider 매개변수의 값을 keycloak 으로 설정합니다.

3. 다음 단계 중 하나를 수행하여 Keycloak을 구성합니다.

   • 보안 연결의 경우 다음 예와 같이 rootCA 매개변수 값을 설정합니다.

     apiVersion: argoproj.io/v1beta1
     kind: ArgoCD
     metadata:
       name: example-argocd
       labels:
         example: basic
     spec:
       sso:
         provider: keycloak
         keycloak:
           rootCA: "<PEM-encoded-root-certificate>" 1
       server:
         route:
           enabled: true

     1

     Keycloak의 TLS 인증서를 확인하는 데 사용되는 사용자 정의 인증서입니다.

     Operator는 .spec.sso.keycloak.rootCA 매개변수의 변경 사항을 조정하고 argocd-cm 구성 맵에서 PEM 인코딩 루트 인증서로 oidc.config 매개변수를 업데이트합니다.

   • 비보안 연결의 경우 rootCA 매개변수 값을 비워 두고 아래와 같이 oidc.tls.insecure.skip.verify 매개변수를 사용합니다.

     apiVersion: argoproj.io/v1beta1
     kind: ArgoCD
     metadata:
       name: example-argocd
       labels:
         example: basic
     spec:
       extraConfig:
         oidc.tls.insecure.skip.verify: "true"
       sso:
         provider: keycloak
         keycloak:
           rootCA: ""

   • 선택 사항: spec.sso.keycloak 필드를 사용자 지정하여 ArgoCD CR에서 keycloak 공급자의 경로 이름을 추가합니다. 이 기능을 사용하여 여러 Ingress 컨트롤러 shard 간에 들어오는 트래픽 로드 밸런싱과 같은 고급 라우팅 사용 사례를 지원합니다.

     • 다음 예제 YAML을 사용하여 ArgoCD CR에 호스트 매개변수를 추가합니다.

       ArgoCD CR의 예

       apiVersion: argoproj.io/v1alpha1
       kind: ArgoCD
       metadata:
         name: <resource_name> 1
         labels:
           example: route
       spec:
         sso:
           provider: keycloak
           keycloak:
            host: <hostname> 2
         server:
           ingress:
             enabled: true
           insecure: true

       1

       & lt;resource_name& gt;을 ArgoCD CR의 이름으로 바꿉니다.

       2

       & lt;hostname >을 호스트 키의 이름으로 바꿉니다(예: sso.test.example.com ).

     • ArgoCD CR 을 생성하려면 다음 명령을 실행합니다.

       $ oc create -f <argocd_filename>.yaml -n <your-namespace>

     • ArgoCD CR 을 편집하려면 다음 명령을 실행합니다.

       $ oc edit -f <argocd_filename>.yaml -n <your_namespace>

     • 파일을 저장하여 변경 사항을 적용합니다.

     • ArgoCD CR을 적용하려면 다음 명령을 실행합니다.

       $ oc apply -f <argocd_filename>.yaml -n <your_namespace>

     • 다음 명령을 실행하여 host 속성이 추가되었는지 확인합니다.

       $ oc get route keycloak -n <your_namespace> -o yaml

       출력 예

       kind: Route
       metadata:
         name: keycloak 1
         labels:
           application: keycloak
       spec:
         host: sso.test.example.com
       status:
         ingress:
           - host: sso.test.example.com 2

       1

       경로 이름을 지정합니다.

       2

       호스트 키의 이름을 지정합니다.

프로세스

1. 로그인할 Keycloak 경로 URL을 가져옵니다.

   $ oc -n argocd get route keycloak
   
   NAME        HOST/PORT                                                        PATH   SERVICES   PORT    TERMINATION   WILDCARD
   keycloak    keycloak-default.apps.ci-ln-******.origin-ci-int-aws.dev.**.com         keycloak   <all>    reencrypt     None

2. 사용자 이름과 암호를 환경 변수로 저장하는 Keycloak Pod 이름을 가져옵니다.

   $ oc -n argocd get pods
   
   NAME                      READY   STATUS           RESTARTS   AGE
   keycloak-1-2sjcl           1/1    Running            0        45m

   1. Keycloak 사용자 이름을 가져옵니다.

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_USERNAME
      
      SSO_ADMIN_USERNAME=Cqid54Ih

   2. Keycloak 암호를 가져옵니다.

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_PASSWORD
      
      SSO_ADMIN_PASSWORD=GVXxHifH

3. 로그인 페이지에서 로그인 VIA KEYCLOAK 를 클릭합니다.

   참고

   Keycloak 인스턴스가 준비된 후에만 LOGIN VIA KEYCLOAK 옵션이 표시됩니다.

4. OpenShift로 로그인을 클릭합니다.

   참고

   kubeadmin 을 사용한 로그인은 지원되지 않습니다.

5. 로그인할 OpenShift 자격 증명을 입력합니다.

6. 선택 사항: 기본적으로 Argo CD에 로그인한 모든 사용자는 읽기 전용 액세스 권한이 있습니다. argocd-rbac-cm 구성 맵을 업데이트하여 사용자 수준 액세스를 관리할 수 있습니다.

   policy.csv:
   <name>, <email>, role:admin