7.9. 配置 OpenID Connect 身份提供程序

配置 oidc 身份提供程序，使用授权代码流与 OpenID Connect 身份提供程序集成。

7.9.1. 关于 OpenShift Container Platform 中的身份提供程序

默认情况下，集群中只有 kubeadmin 用户。要指定身份提供程序，您必须创建一个自定义资源（CR）来描述该身份提供程序并把它添加到集群中。

注意

OpenShift Container Platform 用户名不能包括 /、: 和 %。

7.9.2. 关于 OpenID Connect 身份验证

OpenShift Container Platform 中的 Authentication Operator 要求配置的 OpenID Connect 身份提供程序实现 OpenID Connect Discovery 规格。

注意

不支持 ID Token 和 UserInfo 解密。

默认情况下，需要 openid 范围。如果必要，可在 extraScopes 字段中指定额外的范围。

声明可读取自从 OpenID 身份提供程序返回的 JWT id_token；若有指定，也可读取自从 UserInfo URL 返回的 JSON。

必须至少配置一个声明，以用作用户的身份。标准的身份声明是 sub。

您还可以指定将哪些声明用作用户的首选用户名、显示名称和电子邮件地址。如果指定了多个声明，则使用第一个带有非空值的声明。下表列出了标准声明：

声明	描述
`sub`	“subject identifier”的缩写。用户在签发者处的远程身份。
`preferred_username`	置备用户时的首选用户名。用户希望使用的简写名称，如 `janedoe`。通常，与身份验证系统中用户的登录或用户名对应的值，如用户名或电子邮件。
`email`	电子邮件地址。
`name`	显示名称。

如需更多信息，请参阅 OpenID 声明文档。

注意

除非您的 OpenID Connect 身份提供程序支持资源所有者密码凭证 (ROPC) 授权流，否则用户必须从 <namespace_route>/oauth/token/request 中获取令牌，才能用于命令行工具。

7.9.3. 支持的 OIDC 供应商

红帽在 OpenShift Container Platform 中测试并支持特定的 OpenID Connect (OIDC) 供应商。OpenShift Container Platform 测试并支持以下 OpenID Connect (OIDC) 供应商。在 OpenShift Container Platform 中使用没有包括在以下列表中的 OIDC 供应商可能可以正常工作，但没有经过红帽测试，因此不被红帽支持。

GitLab
Google
Keycloak
Okta
Ping 身份
红帽单点登录

7.9.4. 创建 secret

身份提供程序使用 openshift-config 命名空间中的 OpenShift Container Platform Secret 对象来包含客户端 secret、客户端证书和密钥。

流程

使用以下命令创建一个包含字符串的 Secret 对象：

$ oc create secret generic <secret_name> --from-literal=clientSecret=<secret> -n openshift-config

提示

您还可以应用以下 YAML 来创建 secret：

apiVersion: v1
kind: Secret
metadata:
  name: <secret_name>
  namespace: openshift-config
type: Opaque
data:
  clientSecret: <base64_encoded_client_secret>

您可以使用以下命令定义一个包含文件内容的 Secret 对象，如证书文件：
```
$ oc create secret generic <secret_name> --from-file=<path_to_file> -n openshift-config
```

7.9.5. 创建配置映射

身份提供程序使用 openshift-config 命名空间中的 OpenShift Container Platform ConfigMap 对象来包含证书颁发机构捆绑包。主要用于包含身份提供程序所需的证书捆绑包。

注意

只有 GitHub Enterprise 需要此步骤。

流程

使用以下命令，定义包含证书颁发机构的 OpenShift Container Platform ConfigMap。证书颁发机构必须存储在 ConfigMap 对象的 ca.crt 键中。

$ oc create configmap ca-config-map --from-file=ca.crt=/path/to/ca -n openshift-config

提示

您还可以应用以下 YAML 来创建配置映射：

apiVersion: v1
kind: ConfigMap
metadata:
  name: ca-config-map
  namespace: openshift-config
data:
  ca.crt: |
    <CA_certificate_PEM>

7.9.6. OpenID Connect CR 示例

以下自定义资源 (CR) 显示 OpenID Connect 身份提供程序的参数和可接受值。

如果您必须指定自定义证书捆绑包、额外范围、额外授权请求参数或 userInfo URL，请使用完整的 OpenID Connect CR。

标准 OpenID Connect CR

apiVersion: config.openshift.io/v1
kind: OAuth
metadata:
  name: cluster
spec:
  identityProviders:
  - name: oidcidp 1
    mappingMethod: claim 2
    type: OpenID
    openID:
      clientID: ... 3
      clientSecret: 4
        name: idp-secret
      claims: 5
        preferredUsername:
        - preferred_username
        name:
        - name
        email:
        - email
        groups:
        - groups
      issuer: https://www.idp-issuer.com 6

1: 此提供程序名称作为前缀放在身份声明值前，以此组成身份名称。它还可用来构建的重定向 URL。
2: 控制如何在此提供程序的身份和 User 对象之间建立映射。
3: 在 OpenID 提供程序中注册的客户端的客户端 ID。该客户端必须能够重定向到 https://oauth-openshift.apps.<cluster_name>.<cluster_domain>/oauth2callback/<idp_provider_name>。
4: 对包含客户端 secret 的 OpenShift Container Platform Secret 对象的引用。
5: 用作身份的声明列表。使用第一个非空声明。
6: OpenID 规范中描述的颁发者标识符。必须使用 https，且不带查询或分段组件。

完整 OpenID Connect CR

apiVersion: config.openshift.io/v1
kind: OAuth
metadata:
  name: cluster
spec:
  identityProviders:
  - name: oidcidp
    mappingMethod: claim
    type: OpenID
    openID:
      clientID: ...
      clientSecret:
        name: idp-secret
      ca: 1
        name: ca-config-map
      extraScopes: 2
      - email
      - profile
      extraAuthorizeParameters: 3
        include_granted_scopes: "true"
      claims:
        preferredUsername: 4
        - preferred_username
        - email
        name: 5
        - nickname
        - given_name
        - name
        email: 6
        - custom_email_claim
        - email
        groups: 7
        - groups
      issuer: https://www.idp-issuer.com

1: 可选：对包含 PEM 编码证书颁发机构捆绑包的 OpenShift Container Platform 配置映射的引用，以用于验证所配置 URL 的服务器证书。
2: 可选：除 openid 范围外的可选请求范围列表，在授权令牌请求期间使用。
3: 可选：映射到授权令牌请求中的附加参数映射。
4: 为此身份置备用户时用作首选用户名的声明的列表。使用第一个非空声明。
5: 用作显示名称的声明列表。使用第一个非空声明。
6: 用作电子邮件地址的声明列表。使用第一个非空声明。
7: 用户登录时，用于将 OpenID Connect 供应商的组与 OpenShift Container Platform 同步的声明列表。使用第一个非空声明。

其他资源

如需了解所有身份提供程序通用的参数（如 mappingMethod ）的信息，请参阅身份提供程序参数。

7.9.7. 在集群中添加身份提供程序

安装集群之后，请在其中添加一个身份提供程序，以便您的用户可以进行身份验证。

先决条件

创建 OpenShift Container Platform 集群。
为身份提供程序创建自定义资源（CR）。
必须已经以管理员身份登录。

流程

应用定义的 CR：
```
$ oc apply -f </path/to/CR>
```
注意
如果一个 CR 不存在，oc apply 会创建一个新的 CR，并可能会触发以下警告 Warning: oc apply should be used on resources created by either oc create --save-config or oc apply。在这种情况下，您可以忽略这个警告。
从 OAuth 服务器获取令牌。
只要 kubeadmin 用户已被删除，oc login 命令就会提供如何访问可以获得令牌的网页的说明。
您还可以通过使用 web 控制台的 (?)访问此页面。 Help Command Line Tools Copy Login Command.
登录到集群，提供令牌进行身份验证。
```
$ oc login --token=<token>
```
注意
如果您的 OpenID Connect 身份提供程序支持资源所有者密码凭证（ROPC）授权流，您可以使用用户名和密码登录。您可能需要执行相应的步骤，为身份提供程序启用 ROPC 授权流。
在 OpenShift Container Platform 中配置 OIDC 身份提供程序后，您可以使用以下命令登录，以提示您的用户名和密码：
```
$ oc login -u <identity_provider_username> --server=<api_server_url_and_port>
```
确认用户登录成功，并显示用户名。
```
$ oc whoami
```

7.9.8. 使用 web 控制台配置身份提供程序

通过 web 控制台而非 CLI 配置身份提供程序 (IDP)。

先决条件

您必须以集群管理员身份登录到 web 控制台。

流程

导航至 Administration Cluster Settings。
在 Configuration 选项卡下，单击 OAuth。
在 Identity Providers 部分中，从 Add 下拉菜单中选择您的身份提供程序。

注意

您可以通过 web 控制台来指定多个 IDP，而不会覆盖现有的 IDP。