主页
产品
Red Hat Advanced Cluster Security for Kubernetes
4.8
配置
18.3. 声明性配置示例

18.3. 声明性配置示例

您可以使用以下示例作为指南来创建声明配置。使用 roxctl declarative-config lint 命令来验证您的配置是否有效。

18.3.1. 声明配置身份验证供应商示例
复制链接

声明配置身份验证供应商示例

name: A sample auth provider
minimumRole: Analyst

1


uiEndpoint: central.custom-domain.com:443

2


extraUIEndpoints:

3


    - central-alt.custom-domain.com:443
groups:

4


    - key: email

5


      value: example@example.com
      role: Admin

6


    - key: groups
      value: reviewers
      role: Analyst
requiredAttributes:

7


    - key: org_id
      value: "12345"
claimMappings:

8


    - path: org_id
      value: my_org_id
oidc:

9


    issuer: sample.issuer.com

10


    mode: auto

11


    clientID: CLIENT_ID
    clientSecret: CLIENT_SECRET
clientSecret: CLIENT_SECRET
iap:

12


    audience: audience
saml:

13


    spIssuer: sample.issuer.com
    metadataURL: sample.provider.com/metadata
saml:

14


    spIssuer: sample.issuer.com
    cert: |

15


    ssoURL: saml.provider.com
    idpIssuer: idp.issuer.com
userpki:
    certificateAuthorities: |

16


    certificate

17


openshift:

18


    enable: true

1: 标识默认分配给任何用户登录的最小角色。如果留空，则值为 None。
2: 使用 Central 实例的用户界面端点。
3: 如果您的 Central 实例公开给不同的端点，请在此处指定它们。
4: 这些字段根据其属性将用户映射到特定的角色。
5: 密钥可以是从身份验证提供程序返回的任何声明。
6: 标识给定用户的角色。您可以使用默认角色或声明性创建的角色。
7: 可选：如果需要从身份验证提供程序返回的属性，则使用这些字段；例如，如果 audience 仅限于特定的机构或组。
8: 可选：如果从身份提供程序返回的声明应映射到自定义声明，则使用这些字段。
9: 本节只适用于 OpenID Connect (OIDC)身份验证供应商。
10: 标识令牌的预期签发者。
11: 标识 OIDC 回调模式。可能的值有 auto、post、query 和 fragment。首选值为 auto。
12: 本节只适用于 Google Identity-Aware 代理(IAP)身份验证供应商。
13: 本节只适用于 Security Assertion Markup Language (SAML) 2.0 动态配置身份验证供应商。
14: 本节只适用于 SAML 2.0 静态配置身份验证供应商。
15: 以 Privacy Enhanced Mail (PEM)格式包含证书。
16: 本节只适用于使用用户证书进行身份验证。
17: 以 PEM 格式包含证书。
18: 本节只适用于 OpenShift Auth 身份验证提供程序。

18.3.2. 声明性配置权限集示例
复制链接

声明性配置权限集示例

name: A sample permission set
description: A sample permission set created declaratively
resources:
- resource: Integration

1


  access: READ_ACCESS

2


- resource: Administration
  access: READ_WRITE_ACCESS

1: 如需支持的资源的完整列表，请转至 Access Control Permission Sets。
2: 访问可以是 READ_ACCESS 或 READ_WRITE_ACCESS。

18.3.3. 声明性配置访问范围示例
复制链接

声明性配置访问范围示例

name: A sample access scope
description: A sample access scope created declaratively
rules:
    included:
        - cluster: secured-cluster-A

1


          namespaces:
            - namespaceA
        - cluster: secured-cluster-B

2


    clusterLabelSelectors:
        - requirements:
        - requirements:
          - key: kubernetes.io/metadata.name
            operator: IN

3


            values:
            - production
            - staging
            - environment

1: 标识一个集群，其中只有特定命名空间包含在访问范围内。
2: 标识在访问范围内包括所有命名空间的集群。
3: 标识用于标签选择的 Operator。有效值为 IN,NOT_IN,EXISTS, 和 NOT_EXISTS。

18.3.4. 声明配置角色示例
复制链接

声明配置角色示例

name: A sample role
description: A sample role created declaratively
permissionSet: A sample permission set

1


accessScope: Unrestricted

2

1: 权限集的名称；可以是系统权限集之一，也可以是声明性创建的权限集。
2: 访问范围的名称；可以是系统访问范围之一或声明性创建的访问权限范围。

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2026 Red Hat

返回顶部