8.2. 为直接身份验证配置外部 OIDC 身份提供程序

流程

1. 确保您使用安装程序生成的 kubeconfig 文件，或者另一个长期以集群管理员身份登录的方法。

2. 运行以下命令，创建允许您通过 Web 控制台进行身份验证的 secret：

   $ oc create secret generic console-secret \
       --from-literal=clientSecret=<secret_value> \

   1

   
       -n openshift-config

   Copy to Clipboard Toggle word wrap

   1

   将 <secret_value> 替换为身份提供程序中 console-test 客户端的 secret 值。

3. 可选：通过运行以下命令，创建包含供应商的证书颁发机构捆绑包的配置映射：

   $ oc create configmap keycloak-oidc-ca --from-file=ca-bundle.crt=my-directory/ca-bundle.crt \

   1

   
       -n openshift-config

   Copy to Clipboard Toggle word wrap

   1

   指定供应商的 ca-bundle.crt 文件的路径。

4. 运行以下命令来编辑身份验证配置：

   $ oc edit authentication.config/cluster

   Copy to Clipboard Toggle word wrap

5. 通过将 type 字段设置为 OIDC，为供应商配置 oidcProviders 字段，并将 webhookTokenAuthenticator 字段设置为 null 来更新身份验证配置：

   apiVersion: config.openshift.io/v1
   kind: Authentication
   metadata:
   # ...
   spec:
     type: OIDC 

   1

   
     webhookTokenAuthenticator: null 

   2

   
     oidcProviders: 

   3

   
     - claimMappings:
         extra: 

   4

   
         - key: example.com/role
           valueExpression: claims.?role.orValue("unknown")
         groups:
           claim: groups 

   5

   
           prefix: 'oidc-groups-test:'
         uid: 

   6

   
           claim: "sub"
         username:
           claim: email 

   7

   
           prefixPolicy: Prefix
           prefix:
             prefixString: 'oidc-user-test:'
       issuer:
         audiences: 

   8

   
         - console-test
         - oc-cli-test
         issuerCertificateAuthority:
           name: keycloak-oidc-ca 

   9

   
         issuerURL: https://keycloak-keycloak.apps.example.com/realms/master 

   10

   
       name: 'keycloak-oidc-server' 

   11

   
       oidcClients:
       - clientID: oc-cli-test 

   12

   
         componentName: cli
         componentNamespace: openshift-console
       - clientID: console-test 

   13

   
         clientSecret:
           name: console-secret 

   14

   
   
         componentName: console
         componentNamespace: openshift-console

   Copy to Clipboard Toggle word wrap

   1

   必须设置为 OIDC 以指示使用外部 OIDC 身份提供程序。

   2

   当 type 设为 OIDC 时，必须设置为 null。

   3

   OIDC 供应商配置。目前，只允许一个 OIDC 供应商配置。

   4

   用于配置映射的可选字段，用于为集群身份构建额外属性。

   5

   为集群身份构建组名称的声明名称。

   6

   配置用于为集群身份构造 uid 的声明映射的可选字段。

   7

   为集群身份构建用户名的声明名称。

   8

   此身份验证提供程序发布令牌的受众列表。

   9

   包含 ca-bundle.crt 键的配置映射名称。如果未设置，则使用系统信任。

   10

   令牌签发者的 URL。

   11

   外部 OIDC 供应商的名称。

   12

   供应商用于 OpenShift CLI (oc)的客户端 ID。

   13

   您的供应商用于 OpenShift Container Platform Web 控制台的客户端 ID。

   14

   存储控制台客户端的 secret 值的 secret 名称。

   有关所有可用参数的详情，请参阅"OIDC 供应商配置参数"。

6. 退出并保存更改以应用新配置。

7. 等待集群向所有节点推出新修订版本。

   1. 运行以下命令，检查 Kubernetes API 服务器 Operator 状态：

      $ oc get co kube-apiserver

      Copy to Clipboard Toggle word wrap

      输出示例

      NAME             VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE   MESSAGE
      kube-apiserver   4.20.0    True        True          False      85m     NodeInstallerProgressing: 2 node are at revision 8; 1 node is at revision 10

      Copy to Clipboard Toggle word wrap

      上例中的消息显示一个节点已进入新修订版本，两个节点还没有更新。根据集群大小，可能需要 20 分钟或更长时间向所有节点推出新修订版本。

   2. 要排除任何问题，您还可以检查 Cluster Authentication Operator 和 kube-apiserver pod 日志中的错误。

验证

1. 通过与您的身份提供程序进行身份验证，验证您可以登录到 OpenShift CLI (oc)：

   1. 运行以下命令登录：

      $ oc login --exec-plugin=oc-oidc \

      1

      
          --issuer-url=https://keycloak-keycloak.apps.example.com/realms/master \

      2

      
          --client-id=oc-cli-test \

      3

      
          --extra-scopes=email --callback-port=8080 \
          --oidc-certificate-authority my-directory/ca-bundle.crt 

      4

      Copy to Clipboard Toggle word wrap

      1

      指定 oc-oidc 作为 exec 插件类型。只允许 oc-oidc 值。

      2

      指定身份提供程序的签发者 URL。

      3

      指定 OpenShift CLI 的客户端 ID (oc)。

      4

      指定本地机器中的 ca-bundle.crt 文件的路径。

      输出示例

      Please visit the following URL in your browser: http://localhost:8080

      Copy to Clipboard Toggle word wrap

   2. 在浏览器中打开 http://localhost:8080。

   3. 使用身份提供程序中的凭证进行身份验证。

      身份验证成功后，您应该在终端中看到类似以下输出的消息：

      Logged into "https://api.my-cluster.example.com:6443" as "oidc-user-test:user1@example.com" from an external oidc issuer.

      Copy to Clipboard Toggle word wrap

2. 通过与身份提供程序进行身份验证来验证您可以登录到 OpenShift Container Platform Web 控制台：

   1. 在浏览器中打开集群的 Web 控制台 URL。

      您将被重定向到您的身份提供程序以登录。

   2. 使用身份提供程序中的凭证进行身份验证。

      验证您是否成功登录，并重定向到 OpenShift Container Platform Web 控制台。