第 10 章 托管 control plane 的身份验证和授权

流程

1. 运行以下命令，在管理集群上编辑 HostedCluster 自定义资源(CR)：

   $ oc edit hostedcluster <hosted_cluster_name> -n <hosted_cluster_namespace>

2. 使用以下示例在 HostedCluster CR 中添加 OAuth 配置：

   apiVersion: hypershift.openshift.io/v1alpha1
   kind: HostedCluster
   metadata:
     name: <hosted_cluster_name>
     namespace: <hosted_cluster_namespace>
   spec:
     configuration:
       oauth:
         identityProviders:
         - openID:
             claims:
               email:
                 - <email_address>
               name:
                 - <display_name>
               preferredUsername:
                 - <preferred_username>
             clientID: <client_id>
             clientSecret:
               name: <client_id_secret_name>
             issuer: https://example.com/identity
           mappingMethod: lookup
           name: IAM
           type: OpenID

   • metadata.name 指定托管集群名称。
   • metadata.namespace 指定托管集群命名空间。
   • spec.configuration.oauth. identityProviders.openID 是一个供应商名称，作为身份声明值的前缀，以此组成身份名称。提供程序名称也用于构建重定向 URL。
   • spec.configuration.oauth. identityProviders.openID.claims.email 定义用作电子邮件地址的属性列表。
   • spec.configuration.oauth. identityProviders.openID.claims.name 定义用作显示名称的属性列表。
   • spec.configuration.oauth. identityProviders.openID.claims.preferredUsername 定义用作首选用户名的属性列表。
   • spec.configuration.oauth. identityProviders.openID.clientID 定义在 OpenID 供应商处注册的客户端 ID。您必须允许客户端重定向到 https://oauth-openshift.apps.<cluster_name>.<cluster_domain>/oauth2callback/<idp_provider_name> URL。
   • spec.configuration.oauth. identityProviders.openID.clientSecret.name 定义在 OpenID 供应商处注册的客户端 secret。
   • spec.configuration.oauth. identityProviders.openID.issuer 指定 OpenID spec 中描述的签发者标识符。您必须使用没有查询或片段组件的 https。有关签发者标识符的更多信息，请参阅"签发者标识符"。
   • spec.configuration.oauth. identityProviders.mappingMethod 定义了一个映射方法，用于控制如何在此供应商和 User 对象的身份之间建立映射。
3. 保存文件以使改变生效。