5.10. 使用 Keycloak 为 Argo CD 配置 SSO

1. 通过从 Argo CD 自定义资源(CR)中删除以下部分来删除 Dex 配置，并保存 CR：

   dex:
       openShiftOAuth: true
       resources:
         limits:
           cpu:
           memory:
         requests:
           cpu:
           memory:

   Copy to Clipboard Toggle word wrap

2. 通过编辑 Argo CD CR 配置 Keycloak，并将 provider 参数的值更新为 keycloak。例如：

   apiVersion: argoproj.io/v1alpha1
   kind: ArgoCD
   metadata:
     name: example-argocd
     labels:
       example: basic
   spec:
     sso:
       provider: keycloak
     server:
       route:
        enabled: true

   Copy to Clipboard Toggle word wrap

流程

1. 获取用于登录的 Keycloak 路由 URL：

   $ oc -n argocd get route keycloak
   
   NAME        HOST/PORT                                                        PATH   SERVICES   PORT    TERMINATION   WILDCARD
   keycloak    keycloak-default.apps.ci-ln-******.origin-ci-int-aws.dev.**.com         keycloak   <all>    reencrypt     None

   Copy to Clipboard Toggle word wrap

2. 获取将用户名和密码存储为环境变量的 Keycloak pod 名称：

   $ oc -n argocd get pods
   
   NAME                      READY   STATUS           RESTARTS   AGE
   keycloak-1-2sjcl           1/1    Running            0        45m

   Copy to Clipboard Toggle word wrap

   1. 获取 Keycloak 用户名：

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_USERNAME
      
      SSO_ADMIN_USERNAME=Cqid54Ih

      Copy to Clipboard Toggle word wrap

   2. 获取 Keycloak 密码：

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_PASSWORD
      
      SSO_ADMIN_PASSWORD=GVXxHifH

      Copy to Clipboard Toggle word wrap

3. 在登录页面上，点 LOG IN VIA KEYCLOAK。

   注意

   您只能在 Keycloak 实例就绪后看到 LOGIN VIA KEYCLOAK 选项。

4. 点 Login with OpenShift。

   注意

   不支持使用 kubeadmin 登录。

5. 输入要登录的 OpenShift 凭据。

6. 可选： 默认情况下，登录到 Argo CD 的任何用户都具有只读访问权限。您可以通过更新 argocd-rbac-cm 配置映射来管理用户级别访问权限：

   policy.csv:
   <name>, <email>, role:admin

   Copy to Clipboard Toggle word wrap