第 19 章 OAuth [config.openshift.io/v1]

identityProviders

array

identityProviders 是用户标识自身的方式的有序列表。当此列表为空时，不会为用户置备身份。

identityProviders[]

对象

IdentityProvider 为使用凭证进行身份验证的用户提供身份

templates

对象

模板允许您自定义登录页面等页面。

tokenConfig

对象

tokenConfig 包含授权和访问令牌的选项

basicAuth

对象

basicAuth 包含 BasicAuth IdP 的配置选项

github

对象

GitHub 使用 GitHub 凭证启用用户身份验证

gitlab

对象

GitLab 使用 GitLab 凭证启用用户身份验证

google

对象

Google 使用 Google 凭证启用用户身份验证

htpasswd

对象

htpasswd 使用 HTPasswd 文件启用用户身份验证来验证凭证

keystone

对象

Keystone 使用 Keystone 密码凭证启用用户身份验证

ldap

对象

LDAP 使用 LDAP 凭证启用用户身份验证

mappingMethod

字符串

mappingMethod 决定此提供程序的身份如何映射到用户 Defaults 到 "claim"

name

字符串

name 用于验证此提供程序返回的身份。- 它必须是唯一的且不由所使用的任何其他身份提供程序共享 - 它必须是有效的路径片段：name cannot equal "." 或 ".."。或者包含 "/" 或 "%" 或 ":" Ref: https://godoc.org/github.com/openshift/origin/pkg/user/apis/user/validation#ValidateIdentityProviderName

openID

对象

OpenID 启用使用 OpenID 凭证进行用户身份验证

requestHeader

对象

requestHeader 使用请求标头凭证启用用户身份验证

type

字符串

type 标识此条目的身份提供程序类型。

ca

对象

CA 是包含 PEM 编码 CA 捆绑包的名称对配置映射的可选引用。它被用作信任定位符，以验证远程服务器出示的 TLS 证书。"ca.crt"键用于查找数据。如果指定且未找到配置映射或预期的密钥，则不会满足身份提供程序。如果指定的 ca 数据无效，则不会遵守身份提供程序。若为空，则使用默认的系统根证书。此配置映射的命名空间是 openshift-config。

tlsClientCert

对象

tlsClientCert 是按名称对 secret 的可选引用，其中包含连接到服务器时可用的 PEM 编码 TLS 客户端证书。键 "tls.crt" 用于查找数据。如果指定且未找到 secret 或预期密钥，则不会遵守身份提供程序。如果指定的证书数据无效，则不会遵守身份提供程序。此 secret 的命名空间是 openshift-config。

tlsClientKey

对象

tlsClientKey 是名称对 secret 的可选引用，其中包含 tlsClientCert 中引用的客户端证书的 PEM 编码 TLS 私钥。"tls.key"键用于查找数据。如果指定且未找到 secret 或预期密钥，则不会遵守身份提供程序。如果指定的证书数据无效，则不会遵守身份提供程序。此 secret 的命名空间是 openshift-config。

url

字符串

URL 是要连接的远程 URL

name

字符串

name 是引用的配置映射的 metadata.name

name

字符串

name 是引用的 secret 的 metadata.name

name

字符串

name 是引用的 secret 的 metadata.name

ca

对象

CA 是包含 PEM 编码 CA 捆绑包的名称对配置映射的可选引用。它被用作信任定位符，以验证远程服务器出示的 TLS 证书。"ca.crt"键用于查找数据。如果指定且未找到配置映射或预期的密钥，则不会满足身份提供程序。如果指定的 ca 数据无效，则不会遵守身份提供程序。若为空，则使用默认的系统根证书。这只能在主机名设置为非空值时才进行配置。此配置映射的命名空间是 openshift-config。

clientID

字符串

clientId 是 oauth 客户端 ID

clientSecret

对象

clientSecret 是包含 oauth 客户端 secret 的名称所需的 secret 引用。"clientSecret"键用于查找数据。如果没有找到 secret 或预期密钥，则不会遵守身份提供程序。此 secret 的命名空间是 openshift-config。

主机名

字符串

hostname 是可选域（如 "mycompany.com"）用于托管 GitHub Enterprise 实例。它必须与在 /setup/settings"hostname 中配置的 GitHub Enterprise 设置值匹配。

机构

数组（字符串）

机构（可选）限制允许哪些机构登录

团队

数组（字符串）

团队（可选）限制允许哪些团队登录。格式为 <org>/<team>。

name

字符串

name 是引用的配置映射的 metadata.name

name

字符串

name 是引用的 secret 的 metadata.name

ca

对象

CA 是包含 PEM 编码 CA 捆绑包的名称对配置映射的可选引用。它被用作信任定位符，以验证远程服务器出示的 TLS 证书。"ca.crt"键用于查找数据。如果指定且未找到配置映射或预期的密钥，则不会满足身份提供程序。如果指定的 ca 数据无效，则不会遵守身份提供程序。若为空，则使用默认的系统根证书。此配置映射的命名空间是 openshift-config。

clientID

字符串

clientId 是 oauth 客户端 ID

clientSecret

对象

clientSecret 是包含 oauth 客户端 secret 的名称所需的 secret 引用。"clientSecret"键用于查找数据。如果没有找到 secret 或预期密钥，则不会遵守身份提供程序。此 secret 的命名空间是 openshift-config。

url

字符串

URL 是 oauth 服务器基本 URL

name

字符串

name 是引用的配置映射的 metadata.name

name

字符串

name 是引用的 secret 的 metadata.name

clientID

字符串

clientId 是 oauth 客户端 ID

clientSecret

对象

clientSecret 是包含 oauth 客户端 secret 的名称所需的 secret 引用。"clientSecret"键用于查找数据。如果没有找到 secret 或预期密钥，则不会遵守身份提供程序。此 secret 的命名空间是 openshift-config。

hostedDomain

字符串

hostedDomain 是可选的 Google App 域（如 "mycompany.com"），用于限制登录

name

字符串

name 是引用的 secret 的 metadata.name

fileData

对象

fileData 是按照名称引用 secret，其中包含要用作 htpasswd 文件的数据。"htpasswd"键用于查找数据。如果没有找到 secret 或预期密钥，则不会遵守身份提供程序。如果指定的 htpasswd 数据无效，则不会遵守身份提供程序。此 secret 的命名空间是 openshift-config。

name

字符串

name 是引用的 secret 的 metadata.name

ca

对象

CA 是包含 PEM 编码 CA 捆绑包的名称对配置映射的可选引用。它被用作信任定位符，以验证远程服务器出示的 TLS 证书。"ca.crt"键用于查找数据。如果指定且未找到配置映射或预期的密钥，则不会满足身份提供程序。如果指定的 ca 数据无效，则不会遵守身份提供程序。若为空，则使用默认的系统根证书。此配置映射的命名空间是 openshift-config。

domainName

字符串

keystone v3 需要 domainname

tlsClientCert

对象

tlsClientCert 是按名称对 secret 的可选引用，其中包含连接到服务器时可用的 PEM 编码 TLS 客户端证书。键 "tls.crt" 用于查找数据。如果指定且未找到 secret 或预期密钥，则不会遵守身份提供程序。如果指定的证书数据无效，则不会遵守身份提供程序。此 secret 的命名空间是 openshift-config。

tlsClientKey

对象

tlsClientKey 是名称对 secret 的可选引用，其中包含 tlsClientCert 中引用的客户端证书的 PEM 编码 TLS 私钥。"tls.key"键用于查找数据。如果指定且未找到 secret 或预期密钥，则不会遵守身份提供程序。如果指定的证书数据无效，则不会遵守身份提供程序。此 secret 的命名空间是 openshift-config。

url

字符串

URL 是要连接的远程 URL

name

字符串

name 是引用的配置映射的 metadata.name

name

字符串

name 是引用的 secret 的 metadata.name

name

字符串

name 是引用的 secret 的 metadata.name

属性

对象

属性将 LDAP 属性映射到身份

bindDN

字符串

bindDN 是一个在搜索阶段要绑定的可选 DN。

bindPassword

对象

bindPassword 是按照名称对 secret 的可选引用，其中包含要在搜索阶段绑定的密码。键"bindPassword"用于查找数据。如果指定且未找到 secret 或预期密钥，则不会遵守身份提供程序。此 secret 的命名空间是 openshift-config。

ca

对象

CA 是包含 PEM 编码 CA 捆绑包的名称对配置映射的可选引用。它被用作信任定位符，以验证远程服务器出示的 TLS 证书。"ca.crt"键用于查找数据。如果指定且未找到配置映射或预期的密钥，则不会满足身份提供程序。如果指定的 ca 数据无效，则不会遵守身份提供程序。若为空，则使用默认的系统根证书。此配置映射的命名空间是 openshift-config。

insecure

布尔值

insecure，如果为 true，则表示连接不应使用 TLS WARNING: Should not be set to true，URL scheme "ldaps://" URL 总是尝试使用 TLS 进行连接，即使 insecure 设为 true ，"ldap://" URLS 连接不安全时也是如此。当为 false 时，使用 https://tools.ietf.org/html/rfc2830 中指定的 StartTLS 将 "ldap://" URL 升级到 TLS 连接。

url

字符串

URL 是 RFC 2255 URL，指定要使用的 LDAP 搜索参数。URL 的语法为： ldap://host:port/basedn?attribute?scope?filter

email

数组（字符串）

email 是属性列表，其值应用作电子邮件地址。可选。如果未指定，则不会为身份设置电子邮件

id

数组（字符串）

id 是值应用作用户 ID 的属性列表。必需。使用第一个非空属性。至少需要一个属性。如果列出的属性都没有值，身份验证会失败。LDAP 标准身份属性是 "dn"

name

数组（字符串）

name 是属性的列表，其值应用作显示名称。可选。如果未指定，则不会为身份 LDAP 标准显示名称属性设置显示名称"cn"

preferredUsername

数组（字符串）

preferredUsername 是属性列表，其值应用作首选用户名。LDAP 标准登录属性是"uid"

name

字符串

name 是引用的 secret 的 metadata.name

name

字符串

name 是引用的配置映射的 metadata.name

ca

对象

CA 是包含 PEM 编码 CA 捆绑包的名称对配置映射的可选引用。它被用作信任定位符，以验证远程服务器出示的 TLS 证书。"ca.crt"键用于查找数据。如果指定且未找到配置映射或预期的密钥，则不会满足身份提供程序。如果指定的 ca 数据无效，则不会遵守身份提供程序。若为空，则使用默认的系统根证书。此配置映射的命名空间是 openshift-config。

声明

对象

声明映射

clientID

字符串

clientId 是 oauth 客户端 ID

clientSecret

对象

clientSecret 是包含 oauth 客户端 secret 的名称所需的 secret 引用。"clientSecret"键用于查找数据。如果没有找到 secret 或预期密钥，则不会遵守身份提供程序。此 secret 的命名空间是 openshift-config。

extraAuthorizeParameters

对象（字符串）

extraAuthorizeParameters 是添加到授权请求的任何自定义参数。

extraScopes

数组（字符串）

extraScope 除了标准"openid"范围外，还具有请求的任何范围。

Issuer

字符串

issuer 是 OpenID 提供程序断言作为其颁发者标识符的 URL。它必须使用没有查询或片段组件的 https 方案。

name

字符串

name 是引用的配置映射的 metadata.name

email

数组（字符串）

email 是应将其值用作电子邮件地址的声明列表。可选。如果未指定，则不会为身份设置电子邮件

groups

数组（字符串）

groups 是操作的声明值列表，用于为用户将组从 OIDC 供应商同步到 OpenShift。如果指定了多个声明，则使用第一个带有非空值的声明。

name

数组（字符串）

name 是应用作显示名称的声明的列表。可选。如果未指定，则不会为身份设置显示名称

preferredUsername

数组（字符串）

preferredUsername 是应用作首选用户名的声明列表。如果未指定，则首选用户名由子声明的值决定

name

字符串

name 是引用的 secret 的 metadata.name

ca

对象

CA 是包含 PEM 编码 CA 捆绑包的名称对配置映射的必要引用。它被用作信任定位符，以验证远程服务器出示的 TLS 证书。具体来说，它允许验证传入的请求以防止标头欺骗。"ca.crt"键用于查找数据。如果没有找到配置映射或预期密钥，则不会遵守身份提供程序。如果指定的 ca 数据无效，则不会遵守身份提供程序。此配置映射的命名空间是 openshift-config。

challengeURL

字符串

challengeURL 是一个 URL，用于将未经身份验证的 /authorize 请求重定向到来自 OAuth 客户端的未验证请求，该请求希望在此处重定向 WWW-Authenticate 质询。${url} 替换为当前的 URL，进行转义，在查询参数 https://www.example.com/sso-login?then=${url} ${query} 替换为当前查询字符串 https://www.example.com/auth-proxy/oauth/authorize?${query} 必需（当 challenge 设置为 true 时）。

clientCommonNames

数组（字符串）

clientCommonNames 是需要匹配的一个可选名称列表。如果为空，则针对 clientCA 捆绑包验证的任何客户端证书都将被视为权威。

emailHeaders

数组（字符串）

emailHeaders 是一组用于检查电子邮件地址的标头

标头

数组（字符串）

标头是一组用于检查身份信息的标头

loginURL

字符串

loginURL 是一个 URL，用于将未经身份验证的 /authorize 请求重定向到来自 OAuth 客户端的 Unauthenticated 请求，预期在此 ${url} 被重定向为当前 URL，进行转义以在查询参数中安全 https://www.example.com/sso-login?then=${url} ${query} 替换为当前查询字符串 https://www.example.com/auth-proxy/oauth/authorize?${query} 必需。

nameHeaders

数组（字符串）

nameHeaders 是一组用于检查显示名称的标头

preferredUsernameHeaders

数组（字符串）

preferredUsernameHeaders 是一组用于检查首选用户名的标头

name

字符串

name 是引用的配置映射的 metadata.name

错误

对象

error 是 secret 的名称，用于指定在身份验证或授权流期间用来呈现错误页面的 go 模板。"errors.html"键用于查找模板数据。如果指定且未找到 secret 或预期键，则会使用默认错误页面。如果指定的模板无效，则使用默认错误页面。如果未指定，则使用默认错误页面。此 secret 的命名空间是 openshift-config。

login

对象

login 是 secret 的名称，用于指定用来呈现登录页面的 go 模板。"login.html"密钥用于查找模板数据。如果指定且未找到 secret 或预期密钥，则会使用默认的登录页面。如果指定的模板无效，则使用默认登录页面。如果未指定，则使用默认登录页面。此 secret 的命名空间是 openshift-config。

providerSelection

对象

providerSelection 是 secret 的名称，用于指定用来呈现供应商选择页面的 go 模板。"providers.html" 键用于查找模板数据。如果指定且未找到 secret 或预期密钥，则会使用默认供应商选择页面。如果指定模板无效，则使用默认供应商选择页面。如果未指定，则使用默认供应商选择页面。此 secret 的命名空间是 openshift-config。

name

字符串

name 是引用的 secret 的 metadata.name

name

字符串

name 是引用的 secret 的 metadata.name

name

字符串

name 是引用的 secret 的 metadata.name

accessTokenInactivityTimeout

字符串

accessTokenInactivityTimeout 为任何客户端授予的令牌定义令牌不活跃超时。该值代表令牌连续使用之间可持续发生的最长时间。如果在这个时时窗口中不使用令牌，则令牌将变为无效。用户将在令牌超时后获取新令牌，以便重新获得访问。使用有效的持续时间字符串，如 "5m", "1.5h" 或 "2h45m"。持续时间允许的最小值为 300s (5 分钟)。如果为每个客户端配置了超时，则该值将具有优先权。如果没有指定超时值，且客户端不会覆盖值，则令牌在其生命周期前有效。警告：通过更改此值，现有令牌的超时时间不会受到影响（降低）

accessTokenInactivityTimeoutSeconds

整数

accessTokenInactivityTimeoutSeconds - DEPRECATED: 设置此字段无效。

accessTokenMaxAgeSeconds

整数

accessTokenMaxAgeSeconds 定义访问令牌的最长期限