5.13. 使用 Keycloak 为 Argo CD 配置 SSO

1. 通过从 Argo CD 自定义资源 (CR) 中删除 .spec.sso.dex 参数来删除 Dex 配置，并保存 CR：

   dex:
       openShiftOAuth: true
       resources:
         limits:
           cpu:
           memory:
         requests:
           cpu:
           memory:

2. 在 Argo CD CR 中将 provider 参数的值设置为 keycloak。

3. 通过执行以下步骤配置 Keycloak：

   • 对于安全连接，设置 rootCA 参数的值，如下例所示：

     apiVersion: argoproj.io/v1alpha1
     kind: ArgoCD
     metadata:
       name: example-argocd
       labels:
         example: basic
     spec:
       sso:
         provider: keycloak
         keycloak:
           rootCA: "<PEM-encoded-root-certificate>" 1
       server:
         route:
           enabled: true

     1

     用于验证 Keycloak 的 TLS 证书的自定义证书。

     Operator 会协调 .spec.keycloak.rootCA 参数中的更改，并使用 argocd-cm 配置映射中的 PEM 编码 root 证书更新 oidc.config 参数。

   • 对于不安全连接，将 rootCA 参数的值留空，并使用 oidc.tls.insecure.skip.verify 参数，如下所示：

     apiVersion: argoproj.io/v1alpha1
     kind: ArgoCD
     metadata:
       name: example-argocd
       labels:
         example: basic
     spec:
       extraConfig:
         oidc.tls.insecure.skip.verify: "true"
       sso:
         provider: keycloak
         keycloak:
           rootCA: ""

流程

1. 获取用于登录的 Keycloak 路由 URL：

   $ oc -n argocd get route keycloak
   
   NAME        HOST/PORT                                                        PATH   SERVICES   PORT    TERMINATION   WILDCARD
   keycloak    keycloak-default.apps.ci-ln-******.origin-ci-int-aws.dev.**.com         keycloak   <all>    reencrypt     None

2. 获取将用户名和密码存储为环境变量的 Keycloak pod 名称：

   $ oc -n argocd get pods
   
   NAME                      READY   STATUS           RESTARTS   AGE
   keycloak-1-2sjcl           1/1    Running            0        45m

   1. 获取 Keycloak 用户名：

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_USERNAME
      
      SSO_ADMIN_USERNAME=<username>

   2. 获取 Keycloak 密码：

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_PASSWORD
      
      SSO_ADMIN_PASSWORD=<password>

3. 在登录页面上，点 LOG IN VIA KEYCLOAK。

   注意

   您只能在 Keycloak 实例就绪后看到 LOGIN VIA KEYCLOAK 选项。

4. 点 Login with OpenShift。

   注意

   不支持使用 kubeadmin 登录。

5. 输入要登录的 OpenShift 凭据。

6. 可选： 默认情况下，登录到 Argo CD 的任何用户都具有只读访问权限。您可以通过更新 argocd-rbac-cm 配置映射来管理用户级别访问权限：

   policy.csv:
   <name>, <email>, role:admin