访问管理和身份验证

步骤

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。

3. 输入 验证器 的唯一名称。名称是必需的，在所有验证器间都必须是唯一的，且不得超过 512 个字符。这是为验证器生成的唯一标识符。

   注意

   更改名称不会更新验证器的唯一标识符。例如，如果您使用名称 My Authenticator 创建验证器，稍后将其改为 My LDAP Authenticator，您将无法使用名称 My Authenticator 创建另一个验证器，因为唯一标识符仍在使用。

4. 从 Authentication type 列表中选择 authenticator 类型。有关可用身份验证插件的完整列表，请参阅配置验证类型。

5. Authentication details 部分自动更新，以显示与所选验证类型相关的字段。如需所需详情，请参阅配置验证类型中的相应部分。

   对于所有验证类型，您可以输入 Name, Additional Authenticator Fields and Create Objects。

6. 启用或禁用 Enabled，以指定是否应启用或禁用验证器。如果启用，用户可以从验证器登录。如果禁用，则不允许用户从验证器登录。

7. 启用或禁用 Create Object，以指定 验证器是否应该在用户登录时在系统中创建团队和机构。

   Enabled

   创建验证器映射中定义的团队和机构，并添加了用户。

   Disabled

   在验证器映射中定义的机构和团队不会被在系统中自动创建。但是，如果它们已存在（例如由超级用户创建），触发映射的用户将被授予其访问权限。

8. 启用或禁用 删除用户。如果启用，则在从此源进行身份验证时，之前授予用户的任何访问权限都会被删除。如果禁用，则仅根据验证器的映射器映射的结果，为用户添加或删除权限。

   例如，假设用户已在系统中被授予了 is_superuser 权限。并且，该用户将登录到验证器，其映射不会按照用户是否为超级用户来制定建议。如果启用了 Remove Users，则 is_superuser 权限将从用户中删除，验证器映射不会像它应该是否存在一样，在登录用户时没有 is_superuser 权限。

   如果禁用 Remove Users，则不会 从用户中删除 is_superuser 权限。登录用户后，验证器映射不会像它一样使用 is_superuser 权限。

9. 单击 Create Authentication Method，再继续 定义身份验证映射规则并触发器。

步骤

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 在列表视图中，选择 Name 列中显示的验证器名称。
3. 在验证器的 Details 页面中选择 Mapping 选项卡。
4. 点 Create mapping。

5. 从 Authentication 映射列表中选择映射类型。有关不同 映射类型的详情，请参阅 Authenticator 映射类型。选择包括：

   • Allow
   • 机构（Organization）
   • Team
   • 角色
   • 是超级用户
6. 输入唯一规则 Name 来标识该规则。

7. 从列表中选择 Trigger。如需了解更多详细信息，请参阅 Authenticator 映射触发器。选择包括：

   • Always
   • Never
   • 组
   • 属性
8. 点 Create mapping。
9. 重复此步骤，为验证器创建额外的映射规则和触发器。

10. 继续 调整映射顺序，以便 选择性地对验证器的映射进行重新排序。

    注意

    只有定义了多个验证器映射时，映射顺序设置才可用。

步骤

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 在列表视图中，选择 Name 列中显示的验证器名称。
3. 在验证器的 Details 页面中选择 Mapping 选项卡。
4. 点 Manage mappings。

5. 通过使用拖放列表中的映射，使用拖放列表来调整映射顺序。

   注意

   映射优先级由列出映射的顺序决定。

6. 在您的验证器映射以正确顺序后，单击 Apply。

步骤

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此 Local 配置的 Name。配置名称是必需的，在所有验证器间都必须是唯一的，且不得超过 512 个字符。
4. 从 Authentication type 列表中选择 Local。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。

2. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

3. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
4. 要在创建时启用此验证方法，请选择 Enabled。
5. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
6. 点击 Next。

步骤

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 LDAP。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。
2. 在 LDAP Server URI 字段中，输入或修改您要连接的 LDAP 服务器列表。此字段支持多个地址。

3. 在 LDAP 绑定 DN 文本字段中，输入 Distinguished Name (DN)以指定 Ansible Automation Platform 用来连接到 LDAP 服务器的用户，如下例所示：

   cn=josie,cn=users,dc=website,dc=com

   Copy to Clipboard Toggle word wrap
4. 在 LDAP Bind Password 文本字段中，输入用于绑定用户的密码。

5. 从 LDAP Group Type 列表中选择一个组类型。

   group type 定义组的类名称，后者管理 LDAP 目录中与用户关联的组，并由此流程的第 14 步中指定的搜索返回。组类型以及组参数和组搜索用于在登录期间查找和为用户分配组，也可以在映射过程中评估。下表列出了可用的组类型，以及它们的描述以及每个组所需的参数。默认情况下，通过获取 cn 属性的第一个值，LDAP 组将映射到 Django 组。您可以使用 name_attr 指定不同的属性。例如，name_attr='cn'。

   Expand

   表 2.1. 可用的 LDAP 组类型

   LDAP 组类型	描述	initializer 方法(init)
   PosixGroupType	处理 posixGroup 对象类。这会检查主组和组成员资格。	name_attr='cn'
   MemberDNGroupType	处理 group 对象中包含其成员 DN 列表的分组机制。	member_attr, name_attr='cn'
   GroupOfNamesType	处理 groupOfNames 对象类。等同于 MemberDNGroupType ('member')。	name_attr='cn'
   GroupOfUniqueNamesType	处理 groupOfUniqueNames 对象类。等同于 MemberDNGroupType ('uniqueMember')。	name_attr='cn'
   ActiveDirectoryGroupType	处理 Active Directory 组。等同于 MemberDNGroupType ('member')。	name_attr='cn'
   OrganizationalRoleGroupType	处理 organizationalRole 对象类。等同于 MemberDNGroupType ('roleOccupant')。	name_attr='cn'
   NestedGroupOfNamesType	处理 groupOfNames 对象类。等同于 NestedMemberDNGroupType ('member')。	member_attr, name_attr='cn'
   NestedGroupOfUniqueNamesType	处理 groupOfUniqueNames 对象类。等同于 NestedMemberDNGroupType ('uniqueMember')。	name_attr='cn'
   NestedActiveDirectoryGroupType	处理 Active Directory 组。等同于 NestedMemberDNGroupType ('member')。	name_attr='cn'
   NestedOrganizationalRoleGroupType	处理 organizationalRole 对象类。等同于 NestedMemberDNGroupType ('roleOccupant')。	name_attr='cn'

   Show more
   注意

   Ansible Automation Platform 支持的组类型使用底层 django-auth-ldap 库。要为所选组类型指定参数，请参阅此步骤的第 14 步。

6. 您可以使用 LDAP 用户 DN 模板 作为用户搜索的替代选择。这种方法对于用户查找效率要高，而不是搜索在您的机构环境中。输入模板的名称，如下例所示：

   uid=%(user)s,cn=users,cn=accounts,dc=example,dc=com

   Copy to Clipboard Toggle word wrap

   其中： uid 是用户标识符，cn 是通用名称，dc 是域组件。

   注意

   如果此设置具有值，它将被使用，而不是 LDAP 用户搜索设置。

7. LDAP Start TLS 默认禁用。STARTTLS 允许您的 LDAP 连接使用传输层安全(TLS)从未加密的连接升级到安全连接。要在 LDAP 连接没有使用 SSL 时启用 StartTLS，请将开关设置为 On。

8. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

9. 输入为 LDAP 连接 设置的任何 LDAP 连接选项。默认情况下，禁用 LDAP 引用，以防止某些 LDAP 查询与 Active Directory 挂起。选项名称应该是字符串，如下例所示：

   OPT_REFERRALS: 0
   OPT_NETWORK_TIMEOUT: 30

   Copy to Clipboard Toggle word wrap

   有关可设置的选项和值，请参阅 python-LDAP 参考。

10. 根据所选的 LDAP 组类型， LDAP Group Type Parameters 字段中提供了不同的参数。LDAP_GROUP_TYPE_PARAMS 是一个字典，它转换为 kwargs，并传递给所选的 LDAP 组类型 类。组类型使用两种常用参数： name_attr 和 member_attr。其中 name_attr 默认为 cn，member_attr 默认为 member ：

    {"name_attr": "cn", "member_attr": "member"}

    Copy to Clipboard Toggle word wrap

    要确定特定 LDAP 组类型需要的参数，请参阅类 init 参数上的 django_auth_ldap 文档。

11. 在 LDAP Group Search 字段中，指定应搜索哪些组以及如何搜索它们，如下例所示：

    [
    "dc=example,dc=com",
    "SCOPE_SUBTREE",
    "(objectClass=group)"
     ]

    Copy to Clipboard Toggle word wrap

12. 在 LDAP User Attribute Map 字段中，输入用户属性，将 LDAP 字段映射到您的 Ansible Automation Platform 用户，如 email 或 first_name，如下例所示：

    {
    "first_name": "givenname",
    "last_name": "sn",
    "email": "mail"
    }

    Copy to Clipboard Toggle word wrap

13. 在 LDAP User Search 字段中输入在身份验证期间搜索用户的位置，如下例所示：

    [
    "ou=users,dc=website,dc=com",
    "SCOPE_SUBTREE",
    "(cn=%(user)s)"
    ]

    Copy to Clipboard Toggle word wrap

    如果没有设置 LDAP 用户 DN 模板，Ansible Automation Platform 会使用 绑定 DN 模板和 LDAP 绑定 密码对 LDAP 进行身份验证。身份验证后，将执行 LDAP 搜索来查找此字段指定的用户。如果找到了用户，Ansible Automation Platform 会根据 LDAP 搜索发现的用户验证提供的密码。通过输入多个搜索术语，支持带有 LDAPUnion 的用户支持多个搜索查询，如下例所示：

    [
        [
            "ou=users,dc=example,dc=com",
            "SCOPE_SUBTREE",
            "uid=%(user)s"
        ],
         [
            "ou=employees,dc=subdivision,dc=com",
            "SCOPE_SUBTREE",
            "uid=%(user)s"
         ]
    ]

    Copy to Clipboard Toggle word wrap

    如果在多次搜索过程中找到非唯一的用户，则这些用户将无法登录到 Ansible Automation Platform。根据提供的示例，如果在 ou=users,dc=example,dc=com 和 ou=employees,dc=subdivision,dc=com 中都找不到带有 uid=jdoe 的用户，则 jdoe 用户都无法登录。在任一分支中找到的所有其他唯一用户仍然可以登录。

    注意

    如果填充了字段 LDAP 用户 DN 模板，它将优先于 LDAP User Search 字段，只有模板才会用于验证用户。

14. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
15. 要在创建时启用此验证方法，请选择 Enabled。
16. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
17. 单击 Create Authentication Method。

步骤

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此 SAML 配置的 Name。
4. 从 Authentication type 列表中选择 SAML。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。
2. 在 SAML Service Provider Entity ID 字段中输入应用程序定义的唯一标识符，用作 SAML 服务提供商实体 ID 字段中的 SAML 服务提供商配置的使用者。这通常是服务供应商的基本 URL，但实际值取决于您的 IdP 所预期的实体 ID。
3. 在 SAML Service Provider Public Certificate 字段中包含证书内容。此信息包含在您作为先决条件创建的 cert.pem 中，必须包含-- BEGIN CERTIFICATE-- 和-- END CERTIFICATE--。
4. 在 SAML Service Provider Private Key 字段中包含私钥内容。此信息包含在您作为先决条件创建的 key.pem 中，必须包含-- BEGIN PRIVATE KEY-- 和-- END PRIVATE KEY--。
5. 在 IdP Login URL 字段中输入要重定向至 的登录登录的 URL。这是 SAML IdP 应用程序的登录 URL。

6. 在 IdP Public Cert 字段中输入来自 IdP 的 secret 的公共证书。这是可从 IdP 下载的 SAML 证书。

   注意

   IdP Public Cert 字段中的 IdP 应包含整个证书，包括-- BEGIN CERTIFICATE-- 和-- END CERTIFICATE--。如果 IdP 没有包含前缀和后缀，则必须手动输入前缀和后缀。

7. 在实体 ID 中输入断言返回的 实体 ID。这是 IdP SAML 应用程序的标识符。您可以在 IdP 提供的 SAML 元数据中找到这个值。
8. 在 Groups, User Email, Username, User Last Name and User First Name 中输入用户详细信息。

9. 在 User Permanent ID 字段中输入用户的永久 ID。此字段是必需的。

   注意

   其他属性可能通过 SAML IdP 提供。这些值必须包含在 Additional Authenticators 字段或 SAML IDP to extra_data 属性映射 字段中。详情请参考这些步骤。

10. SAML Assertion Consumer Service (ACS) URL 字段将服务注册为服务提供者(SP)，其中包含您配置的每个身份提供程序(IdP)。将此字段留空。保存这个验证方法后，会自动生成它。此字段必须与 IdP 中的 Reply URL 设置匹配。

11. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。例如，要确保为映射包含 Email, Username, Last Name, First Name 以外的所有 SAML IdP 属性，请输入：

    GET_ALL_EXTRA_DATA: true

    Copy to Clipboard Toggle word wrap

    另外，您可以在 SAML IDP 到 extra_data 属性映射字段中包含 SAML IdP 属性 列表。

    注意

    此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

12. 在 SAML Service Provider Organization Info 字段中，提供 URL、显示名称和应用程序的名称。

    {
      "en-US": {
        "url": "http://www.example.com",
        "displayname": "Example",
        "name": "example"
      }
    }

    Copy to Clipboard Toggle word wrap

13. 在 SAML Service Provider Technical contact 字段中，为您的服务提供商提供技术联系人的名称和电子邮件地址。

    {
    "givenName": "Some User",
    "emailAddress": "suser@example.com"
    }

    Copy to Clipboard Toggle word wrap

14. 在 SAML Service Provider Support Contact 字段中，为您的服务提供商提供支持联系人的名称和电子邮件地址。

    {
    "givenName": "Some User",
    "emailAddress": "suser@example.com"
    }

    Copy to Clipboard Toggle word wrap

15. 可选：在 SAML 服务提供商额外配置数据 字段中提供额外的配置数据。例如，您可以选择为添加的安全性启用签名请求：

    {
    "sign_request": True,
    }

    Copy to Clipboard Toggle word wrap

    此字段等同于 API 中的 SOCIAL_AUTH_SAML_SP_EXTRA。如需更多信息，请参阅 OneLogin 的 SAML Python Toolkit 来了解有关有效的服务提供商额外(SP_EXTRA)参数的信息。

16. 可选：在 SAML Security Config 字段中提供安全设置。此字段等同于 API 中的 SOCIAL_AUTH_SAML_SECURITY_CONFIG 字段。

    // Indicates whether the <samlp:AuthnRequest> messages sent by this SP // will be signed. [Metadata of the SP will offer this info]
    "authnRequestsSigned": false,
    
    // Indicates a requirement for the <samlp:Response>, <samlp:LogoutRequest> // and <samlp:LogoutResponse> elements received by this SP to be signed.
    "wantMessagesSigned": false,
    
    // Indicates a requirement for the <saml:Assertion> elements received by // this SP to be signed. [Metadata of the SP will offer this info]
    "wantAssertionsSigned": false,
    
    // Authentication context.
    // Set to false and no AuthContext will be sent in the AuthNRequest,
    // Set true or don't present this parameter and you will get an AuthContext 'exact' 'urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport'
    // Set an array with the possible auth context values: array ('urn:oasis:names:tc:SAML:2.0:ac:classes:Password', 'urn:oasis:names:tc:SAML:2.0:ac:classes:X509'),
    "requestedAuthnContext": true,

    Copy to Clipboard Toggle word wrap

    如需更多信息和附加选项，请参阅 OneLogin 的 SAML Python Toolkit。

17. 可选：在 SAML IDP 到 extra_data 属性映射 字段中，输入值以将 IDP 属性映射到 extra_data 属性。这些值会包括除要映射的标准属性外的其他用户信息，如 Email 或 Username。例如：

    - Department
    - UserType
    - Organization

    Copy to Clipboard Toggle word wrap

    有关您可以包含的值的更多信息，请参阅高级 SAML 设置。

    重要

    确保包含所有相关值，以便所有内容都为您的配置正确映射。或者，您可以在 Additional Authenticator 字段中包含 GET_ALL_EXTRA_DATA: true，以允许映射所有可用的 SAML IdP 属性。

18. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
19. 要在创建时启用此验证方法，请选择 Enabled。
20. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
21. 单击 Create Authentication Method。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 TACACS+。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。

2. 输入以下信息：

   • TACACS+ 服务器的主机名：提供要进行身份验证的 TACACS+ 服务器的主机名或 IP 地址。如果将此字段留空，则禁用 TACACS+ 身份验证。
   • TACACS+ 身份验证协议：TACACS+ 客户端使用的协议。这些选项是 ascii 或 pap。
   • 用于向 TACACS+ 服务器进行身份验证的共享机密：TACACS+ 身份验证服务器的 secret 密钥。
3. 默认情况下，启用了 TACACS+ 客户端地址发送。要启用客户端地址发送，请选中复选框。

4. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

5. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
6. 要在创建时启用此验证方法，请选择 Enabled。

7. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。

   单击 Create Authentication Method。

1. 使用此流程中的步骤将 Ansible Automation Platform 配置为使用 Microsoft Entra ID 身份验证。
2. 按照 Quickstart: 将应用程序注册到 Microsoft Entra ID，在 Microsoft Entra ID 中注册Ansible Automation Platform 。这个过程为您提供了应用程序（客户端）ID 和应用程序 secret。
3. 在 Microsoft Entra ID 中添加重定向 URL。在平台中为 Microsoft Entra ID 身份验证完成配置向导后，复制 Azure AD OAuth2 Callback URL 字段中显示的 URL。然后，进入您在 Azure 中注册的企业应用，并将此 URL 添加为 Redirect URL （也称为 Ansible Automation Platform 中的 回调 URL ），如 如何将重定向 URI 添加到您的应用程序 中所述。登录流正常工作需要这一步。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 Azuread。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。
2. 点 Edit，将 Microsoft 的应用（客户端）ID 复制并粘贴到 OIDC Key 字段中。

3. 如果您的 Microsoft Entra ID 配置为在组声明中提供用户组信息，请确保平台配置了与您的 Microsoft Entra ID 配置匹配的 Groups Claim 名称。这允许平台通过 Microsoft Entra ID 正确识别和关联用户登录的组。

   注意

   来自 Microsoft Entra ID 的组可以使用唯一的 ID 或组名称来识别。为 Microsoft Entra ID 验证器创建组映射时，您可以使用唯一的 ID 或组名称。

   默认情况下，Microsoft Entra ID 使用 groups 作为默认组声明名称。因此，请确保将值设置为默认值，或设置为 IdP 中设置的任何自定义覆盖。除非明确更改，否则当前默认会被设置为保留现有行为。

4. 按照将 应用程序注册到 Microsoft 身份平台 的说明，向客户端提供密钥（仅显示一次）以进行身份验证。
5. 将为 Microsoft Entra ID/Microsoft Azure AD 应用程序创建的 secret 密钥复制并粘贴到 OIDC Secret 字段中。

6. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

7. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
8. 要在创建时启用此验证方法，请选择 Enabled。
9. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
10. 单击 Create Authentication Method。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 Google OAuth。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。

2. Google OAuth2 Key 和 Google OAuth2 Secret 字段已预先填充。

   如果没有，在 web 应用程序设置过程中使用提供的 Google 凭证。在以下步骤中保存这些设置以供使用。

3. 将 Google 的客户端 ID 复制并粘贴到 Google OAuth2 Key 字段中。
4. 将 Google 的客户端 secret 复制并粘贴到 Google OAuth2 Secret 字段中。

5. 可选：使用为说明和所需格式提供的工具提示输入以下字段的信息：

   • 访问令牌 URL
   • 访问令牌方法
   • 授权 URL
   • 撤销令牌方法
   • 撤销令牌 URL
   • OIDC JWT 算法
   • OIDC JWT

6. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

7. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
8. 要在创建时启用此验证方法，请选择 Enabled。

9. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。

   单击 Create Authentication Method。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 Generic OIDC。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。

2. 输入以下信息：

   • OIDC Provider URL: 您的 OIDC 供应商的 URL。
   • OIDC Key: 您的第三方 IdP 中的客户端 ID。
   • OIDC Secret ：来自 IdP 的客户端 secret。
3. 可选：从 Access Token Method 列表中选择请求访问令牌时要使用的 HTTP 方法。默认方法是 POST。

4. （可选）使用为说明和所需格式提供的工具提示输入以下字段的信息：

   • 访问令牌方法 - 默认方法是 POST。
   • 访问令牌 URL
   • 访问令牌方法
   • 授权 URL
   • 回调 URL - OIDC Callback URL 字段使用您配置的每个 OIDC 供应商将服务注册为服务供应商(SP)。将此字段留空。保存这个验证方法后，会自动生成它。将您的 IdP 配置为允许重定向到此 URL，作为身份验证流程的一部分。
   • ID 密钥
   • ID Token Issuer
   • JWKS URI
   • OIDC 公钥
   • 撤销令牌方法 - 默认方法是 GET。
   • 撤销令牌 URL
   • 响应类型
   • 令牌端点身份验证方法
   • userinfo URL
   • 用户名键
5. 使用 Verify OIDC Provider Certificate 来启用或禁用 OIDC 供应商 SSL 证书验证。
6. 使用 Redirect State 来启用或禁用重定向 URI 中的 state 参数。建议启用此设置来防止跨站点请求 Forgery (CSRF)攻击。

7. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

8. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
9. 要在创建时启用此验证方法，请选择 Enabled。
10. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
11. 单击 Create Authentication Method。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 Keycloak。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。
2. 在 Keycloak Access Token URL 字段中输入用户令牌检索的位置。
3. 可选：在 Keycloak Provider URL 字段中的登录流中输入用户要指向的重定向位置。
4. 在 Keycloak OIDC Key 字段中输入 Keycloak 安装中的客户端 ID。
5. 在 Keycloak Public Key 字段中输入您的 Keycloak 域提供的 RS256 公钥。
6. 在 Keycloak OIDC Secret 字段中输入来自 Keycloak 安装的 OIDC secret （客户端 Secret）。

7. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

8. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
9. 要在创建时启用此验证方法，请选择 Enabled。
10. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
11. 单击 Create Authentication Method。

1. 在 Keycloak 配置的导航中，选择 Client scopes → YOUR-CLIENT-ID-dedicated → Add mapper → Audience。
2. 为映射器选择一个名称。
3. 在 Included Client Audience中，选择与您的客户端对应的客户端 ID 。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 GitHub。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。

2. 注册应用程序时，GitHub 会显示 客户端 ID 和客户端 Secret ：

   1. 将 GitHub 客户端 ID 复制并粘贴到 GitHub OAuth2 Key 字段中。
   2. 将 GitHub Client Secret 复制并粘贴到 GitHub OAuth2 Secret 字段中。

3. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

4. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
5. 要在创建时启用此验证方法，请选择 Enabled。
6. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
7. 单击 Create Authentication Method。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 GitHub organization。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。

2. 注册应用程序时，GitHub 会显示 客户端 ID 和客户端 Secret ：

   1. 将 GitHub 客户端 ID 复制并粘贴到 GitHub OAuth2 Key 字段中。
   2. 将 GitHub Client Secret 复制并粘贴到 GitHub OAuth2 Secret 字段中。
3. 输入 GitHub 机构的名称，如您的组织 URL 中使用，例如，GitHub OAuth Organization Name 字段中的 https://github.com/<yourorg >/。

4. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

5. 在 GitHub OAuth2 Scope 字段中输入用户的授权范围。默认为 read:org。
6. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
7. 要在创建时启用此验证方法，请选择 Enabled。
8. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
9. 单击 Create Authentication Method。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 GitHub team。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。

2. 注册应用程序时，GitHub 会显示 客户端 ID 和客户端 Secret ：

   1. 将 GitHub 客户端 ID 复制并粘贴到 GitHub OAuth2 Key 字段中。
   2. 将 GitHub Client Secret 复制并粘贴到 GitHub OAuth2 Secret 字段中。
3. 在 GitHub OAuth2 Team ID 字段中复制并粘贴 GitHub 团队 ID。
4. 在 GitHub OAuth2 Scope 字段中输入用户的授权范围。默认为 read:org。

5. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

6. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
7. 要在创建时启用此验证方法，请选择 Enabled。
8. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
9. 单击 Create Authentication Method。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 GitHub enterprise。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。

2. 注册应用程序时，GitHub 会显示 客户端 ID 和客户端 Secret ：

   1. 将 GitHub 客户端 ID 复制并粘贴到 GitHub OAuth2 Key 字段中。
   2. 将 GitHub Client Secret 复制并粘贴到 GitHub OAuth2 Secret 字段中。
3. 在 Base URL 字段中，输入 GitHub Enterprise 实例的主机名，例如 https://github.example.com。
4. 在 Github OAuth2 Enterprise API URL 字段中，输入 GitHub Enterprise 实例的 API URL，例如 https://github.example.com/api/v3。

5. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

6. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
7. 要在创建时启用此验证方法，请选择 Enabled。
8. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
9. 单击 Create Authentication Method。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 GitHub enterprise organization。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。

2. 注册应用程序时，GitHub 会显示 客户端 ID 和客户端 Secret ：

   1. 将 GitHub 客户端 ID 复制并粘贴到 GitHub OAuth2 Key 字段中。
   2. 将 GitHub Client Secret 复制并粘贴到 GitHub OAuth2 Secret 字段中。
3. 在 Base URL 字段中，输入 GitHub Enterprise 实例的主机名，例如 https://github.example.com。
4. 在 Github OAuth2 Enterprise API URL 字段中，输入 GitHub Enterprise 实例的 API URL，例如 https://github.example.com/api/v3。
5. 输入 GitHub 企业机构的名称，如您的组织 URL 中使用，例如 GitHub OAuth2 Enterprise Org Name 字段中的 https://github.com/<yourorg >/。

6. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

7. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
8. 要在创建时启用此验证方法，请选择 Enabled。
9. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
10. 单击 Create Authentication Method。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 GitHub enterprise team。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。

2. 注册应用程序时，GitHub 会显示 客户端 ID 和客户端 Secret ：

   1. 将 GitHub 客户端 ID 复制并粘贴到 GitHub OAuth2 Key 字段中。
   2. 将 GitHub Client Secret 复制并粘贴到 GitHub OAuth2 Secret 字段中。
3. 在 Base URL 字段中，输入 GitHub Enterprise 实例的主机名，例如 https://github.orgexample.com。
4. 在 Github OAuth2 Enterprise API URL 字段中，输入 GitHub Enterprise 实例的 API URL，例如 https://github.example.com/api/v3。
5. 在 GitHub OAuth2 团队 ID 字段中，输入 GitHub 开发人员应用中的 OAuth2 密钥（客户端 ID）。

6. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

7. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
8. 要在创建时启用此验证方法，请选择 Enabled。
9. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
10. 单击 Create Authentication Method。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 点 Create authentication。
3. 输入此身份验证配置的 Name。
4. 从 Authentication type 列表中选择 Radius。Authentication details 部分自动更新，以显示与所选验证类型相关的字段。

1. 从 Auto migrate users from 列表中选择一个旧的验证器方法。从 2.4 升级到 2.5 后，这是旧的验证器，用于从中自动将用户迁移到这个新的身份验证配置。有关迁移用户的重要信息，请参阅 RPM 升级和迁移指南中的 Ansible Automation Platform 升级后步骤。
2. 在 RADIUS Server 字段中输入 RADIUS 服务器的主机或 IP。如果将此字段留空，则禁用 RADIUS 身份验证。
3. 输入 Shared secret，以向 RADIUS 服务器进行身份验证。

4. 可选：输入此验证器可以采用的任何其他 身份验证器字段。这些字段不会被验证，并直接传递给验证器。

   注意

   此字段中定义的值覆盖 UI 中提供的专用字段。此处未定义的任何值都不提供给验证器。

5. 要在成功登录时自动创建机构、用户和团队，请选择 Create objects。
6. 要在创建时启用此验证方法，请选择 Enabled。
7. 要在之前从此来源进行身份验证时添加的任何组删除用户，请选择 Remove users。
8. 单击 Create Authentication Method。

1. 允许将 规则集设置为 never
2. 基于组的允许规则
3. 基于用户属性的 超级用户 规则
4. 基于 用户组的团队管理规则

1. 页面 的机构 标题表示您要在机构中配置设置权限。
2. 网络组织 在此字段中输入，是此映射配置的唯一描述性名称。
3. 从 Trigger 列表中选择 属性，以根据源系统中的属性来配置身份验证，在这个示例中是 Organization。
4. 操作被定义为 或 表示，至少有一个条件必须为 true，才能成功进行身份验证。
5. 来自源 系统的属性是 Organization。
6. compare 值设置为 matches，这意味着当用户具有 Networking 的属性 值时，它们将添加到 Networking 机构中。
7. 来自源系统的属性值是 Networking。
8. 要添加成员的组织的名称是 Networking。
9. 用户添加到具有组织 Member 角色的 Networking 机构中。

流程

1. 在为验证方法配置身份验证详情后，选择 Mapping 选项卡。
2. 从 Add authentication 映射 列表中选择 Allow。
3. 输入唯一规则 Name 来标识该规则。
4. 从列表中选择 Trigger。有关 映射触发器的更多信息，请参阅 Authenticator 映射触发器。
5. 选择 Revoke 在触发器条件不匹配时拒绝用户访问系统。
6. 点击 Next。

流程

1. 在为验证方法配置身份验证详情后，选择 Mapping 选项卡。
2. 从 Add authentication 映射 列表中选择 Organization。
3. 输入唯一规则 Name 来标识该规则。
4. 从列表中选择 Trigger。有关 映射触发器的更多信息，请参阅 Authenticator 映射触发器。
5. 选择 Revoke 在触发器条件不匹配时删除用户对所选机构角色的访问权限。
6. 选择与添加或删除用户匹配的 机构。
7. 为匹配的用户选择要应用或删除的 Role （如 Organization Admin 或 Organization Member）。
8. 点击 Next。

流程

1. 在为验证方法配置身份验证详情后，选择 Mapping 选项卡。
2. 从 Add authentication map 列表中选择 Team。
3. 输入唯一规则 Name 来标识该规则。
4. 从列表中选择 Trigger。有关 映射触发器的更多信息，请参阅 Authenticator 映射触发器。
5. 选择 Revoke 以删除用户对所选机构角色的访问权限，并在触发器条件不匹配时拒绝用户访问系统。
6. 选择与 添加或删除用户匹配的团队和 机构。
7. 为匹配的用户选择要应用或删除的 Role （如 Team Admin 或 Team Member）。
8. 点击 Next。

流程

1. 在为验证方法配置身份验证详情后，选择 Mapping 选项卡。
2. 从 Add authentication 映射 列表中选择 Role。
3. 输入唯一规则 Name 来标识该规则。
4. 从列表中选择 Trigger。有关 映射触发器的更多信息，请参阅 Authenticator 映射触发器。
5. 选择 Revoke 在没有匹配触发器条件时删除用户的角色。
6. 为匹配的用户选择要应用或删除的 Role。
7. 点击 Next。

流程

1. 在为验证方法配置身份验证详情后，选择 Mapping 选项卡。
2. 从 Add authentication mapping 列表中选择 Superuser。
3. 输入唯一规则 Name 来标识该规则。
4. 从列表中选择 Trigger。有关 映射触发器的更多信息，请参阅 Authenticator 映射触发器。
5. 选择 Revoke 在没有匹配触发器条件时，从用户中删除超级用户角色。
6. 点击 Next。

流程

1. 使用 System Administrator 帐户登录到平台网关。
2. 在导航面板中，选择 Access Management → Users 并点所需用户。
3. 在 Roles 选项卡中，删除以下保留角色： Automation Execution Administrator、Automation Decision Administrator 和 Automation Content Administrator。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。

   此时会显示 Authentication Methods 页面。

2. 点 Create authentication 并按照 配置身份验证类型 中的创建验证方法 的步骤进行操作。否则，继续执行第 3 步。
3. 在菜单栏中，您可以使用菜单栏中的箭头( Order、Name 和 Authentication type )对身份验证方法进行排序。
4. 点切换到 Enable 或 Disable authenticators。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 在搜索栏中，为您要搜索的身份验证方法输入适当的关键字，然后单击箭头图标。
3. 如果您找不到查找的内容，您可以缩小搜索范围。在过滤器列表中，根据您要使用的搜索词选择 Name 或 Authentication type。
4. 滚动浏览搜索结果列表，然后选择您要查看的验证器。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。

2. 在列表视图中，选择 Name 列中显示的验证器名称。

   此时会显示 authenticator Details 页面。

3. 在 Details 页面中，您可以查看应用到验证器的配置设置。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。

2. 在列表视图中，您可以：

   1. 选择您要修改验证器旁边的 Edit 图标，或者
   2. 选择 Name 列中显示的验证器名称，再单击 Details 页面中的 Edit authenticator。
3. 根据需要修改身份验证详情或映射配置。
4. 点击 Save。

流程

1. 在导航面板中，选择 Access Management → Authentication Methods。
2. 在列表视图中，选择您要删除的验证器旁边的复选框。

3. 从 swig 列表中选择 Delete authentication。

   注意

   您可以通过选择您要删除的每个验证器旁边的复选框来删除多个验证器，然后点菜单栏上的 Delete selected authentication。

流程

1. 在导航面板中，选择 Access Management → OAuth Applications。
2. 单击 Create OAuth application。Create Application 页面将打开。

3. 输入以下详情：

   Name

   （必需）输入您要创建的应用程序的名称。

   URL

   （可选）输入外部应用程序的 URL。此链接添加到导航面板中以便轻松访问。此设置目前仅作为技术预览提供。

   描述

   （可选）包含应用程序的简短描述。

   机构（Organization）

   （必需）选择一个与这个应用程序关联的机构。

   授权授权类型

   （必需）选择用于用户获取此应用程序的令牌的授权类型之一。如需更多信息，请参阅应用程序功能 以了解有关授权类型的更多信息。

   客户端类型

   （必需）选择客户端设备的安全性级别。

   重定向 URIS

   提供允许的 URI 列表，用空格分开。如果您将授权类型指定为授权代码，则需要此项。

4. 点 Create OAuth application，或者点击 Cancel 以取消您的更改。

   客户端 ID 和客户端 Secret 显示在窗口中。这将是唯一显示客户端机密的时间。

   注意

   只有在 Client type 设为 机密 时，才会创建 Client Secret。

5. 点复制图标并保存客户端 ID 和客户端 secret，将外部应用程序与 Ansible Automation Platform 集成。

流程

1. 在导航面板中，进入 Settings → Platform 网关。
2. 点 Edit platform gateway settings。
3. 将 Allow external users to create OAuth2 tokens setting to Enabled。
4. 点 Save platform gateway settings。

流程

1. 在导航面板中，选择 Access Management → Organizations。
2. 在搜索栏中，为您要搜索的机构输入适当的关键字，然后单击箭头图标。
3. 在菜单栏中，您可以使用 Name 的箭头来对机构列表进行排序。
4. 您还可以通过从 排序 列表中选择 Name、Created 或 Last modified 对列表进行排序。
5. 您可以点 Organizations 页面中的 机构名称 来查看机构详情。

流程

1. 在导航面板中，选择 Access Management → Organizations。
2. 单击 Create organization。

3. 输入 Name，并选择性地为您的机构提供 描述。

   注意

   如果在平台上启用了自动化控制器，请继续第 4 步。否则，继续执行第 6 步。

4. 选择 Execution 环境 的名称，或搜索存在此团队成员可以运行自动化的环境的名称。
5. 输入要 在其上运行此 机构的实例组的名称。
6. 可选：输入 Galaxy 凭证 或从现有凭证列表中搜索。

7. 选择此机构的 Max hosts。默认值为 0。当这个值为 0 时，它表示没有限制。如果您试图将主机添加到已达到或超过其在主机上上限的机构中，则会显示错误消息：

   You have already reached the maximum number of 1 hosts allowed for your organization. Contact your System Administrator for assistance.

   Copy to Clipboard Toggle word wrap
8. 点击 Next。

9. 如果您选择了超过 1 个实例组，您可以通过将实例组拖放到列表中或缩减来管理顺序，然后点 Confirm。

   注意

   执行优先级由实例组列出的顺序决定。

10. 点 Next 并验证机构设置。
11. 单击 Finish。

流程

1. 在导航面板中，选择 Access Management → Organizations。
2. 从 Organizations 列表视图中，选择要管理通知的组织。
3. 选择 Notification 选项卡。
4. 使用切换按钮启用或禁用要与特定机构搭配使用的通知。如需更多信息，请参阅 启用和禁用通知。
5. 如果没有设置通知程序，请从导航面板中选择 Automation Execution → Administration → Notifiers。

流程

1. 在导航面板中，选择 Access Management → Organizations。
2. 从 Organizations 列表视图中，选择您要管理的执行环境的组织。
3. 选择 Execution Environments 选项卡。
4. 如果没有可用的执行环境，点 Create execution environment 创建一个。或者，您可以通过选择 Automation Execution → Infrastructure → Execution Environments 从导航面板中创建执行环境。

5. 单击 Create execution environment。

   注意

   创建新的执行环境后，返回到 Access Management → Organizations，再选择您在其中创建执行环境的组织来更新该选项卡上的列表。

6. 选择要与特定机构搭配使用的执行环境。

流程

1. 在导航面板中，选择 Access Management → Teams。
2. 在搜索栏中，为您要搜索的团队输入适当的关键字，然后单击箭头图标。
3. 在菜单栏中，您可以使用 Name 和 Organization 箭头来对团队列表进行排序。
4. 您可以点 Teams 页面中的团队 名称来查看 团队详情。
5. 您可以点 Organization 列中的链接来查看机构详情。

流程

1. 在导航面板中，选择 Access Management → Teams。
2. 点 Create team。
3. 输入 Name，并选择性地为团队提供一个 Description。

4. 选择要与这个团队关联的机构。

   注意

   每个团队只能分配给一个机构。

5. 点 Create team。

   Details 页面将打开，您可以在其中查看和编辑团队信息。

流程

1. 在导航面板中，选择 Access Management → Teams。
2. 选择您要将用户添加到的团队。
3. 选择 Users 选项卡。
4. 选择 Ansible Automation Platform 选项卡，点 Add users 为团队添加用户访问权限，或者选择 Automation Execution 或 Automation Content 选项卡来查看或删除团队中的用户访问。
5. 点击名称旁边的复选框从列表中选择一个或多个用户，将它们添加为此团队的成员。
6. 单击 Add users。

流程

1. 在导航面板中，选择 Access Management → Teams。
2. 选择您要删除用户的团队。
3. 选择 Users 选项卡。
4. 点您要作为团队成员删除的用户旁边的 Remove user 图标。

5. 您可以通过选择您要删除的每个用户旁边的复选框来删除多个用户，然后从 More actions && 列表中选择 Remove selected users。

   注意

   如果用户是团队管理员，您可以从 Administrators 选项卡中向团队中删除其成员资格。

   这会启动一个确认对话框，要求您确认删除。

流程

1. 在导航面板中，选择 Access Management → Teams。
2. 选择您要添加管理员的团队。
3. 选择 Administrators 选项卡，再单击 Add administrator (s)。
4. 点名称旁边的复选框从列表中选择一个或多个用户，将它们添加为此团队的管理员。
5. 单击 Add administrator。

流程

1. 在导航面板中，选择 Access Management → Teams。
2. 选择您要添加 角色的团队名称。

3. 选择 Roles 选项卡，再单击 Add roles。

   注意

   如果安装了多个 Ansible Automation Platform 组件，您将在 Roles 菜单栏中看到与每个组件关联的角色选择。例如，自动化控制器角色的 Automation Execution，Event-Driven Ansible 角色的 Automation Decisions。

4. 选择 资源类型 并单击下一步。
5. 选择要接收新角色的资源，然后单击 Next。
6. 选择要应用到资源的角色，然后点 Next。

7. 检查设置并点 Finish。

   Add roles 对话框显示角色分配是否已成功应用，单击 Close 以关闭对话框。

流程

1. 在导航面板中，选择 Access Management → Teams。
2. 选择您要从中删除角色的团队 名称。

3. 选择 Roles 选项卡。

   注意

   如果安装了多个 Ansible Automation Platform 组件，您将在 Roles 菜单栏中看到与每个组件关联的角色选择。例如，自动化控制器角色的 Automation Execution，Event-Driven Ansible 角色的 Automation Decisions。

4. 选中您要删除的每个资源旁边的复选框，然后从菜单栏中的 && 列表中选择 Remove selected roles。
5. 选中该复选框以确认移除所选角色，然后单击 删除角色。

流程

1. 在导航面板中，选择 Access Management → Teams。
2. 选中您要删除的团队的复选框。

3. 选择 alsa 图标并选择 Delete team。

   注意

   您可以通过选择您要删除的每个团队旁边的复选框来删除多个团队，然后从 More actions WWN 列表中选择 Delete teams。

流程

1. 在导航面板中，选择 Access Management → Users。
2. 在搜索栏中，为您要搜索的用户输入适当的关键字，然后单击箭头图标。
3. 从菜单栏中，您可以使用 用户名, Email, First name, Last name 或 Last login 以切换您的排序首选项来对用户列表进行排序。
4. 您可以通过从 Users 列表视图中选择 Username 来查看用户详情。

流程

1. 在导航面板中，选择 Access Management → Users。
2. 点 Create user。
3. 在 Create user 页面的字段中，输入新用户的详情。带星号 rolebinding 标记的字段是必需的。

4. 如果没有指定 User type，则普通用户是默认设置。要将用户定义为管理员或审核员，请选择 User type 复选框。

   注意

   如果您要修改您自己的密码，请退出并重新登录以便其生效。

5. 选择要分配给此用户的 机构。有关创建新机构的详情，请参考 创建机构。
6. 点 Create user。

流程

1. 在导航面板中，选择 Access Management → Users。
2. 选中要修改的用户的复选框。
3. 单击 Pencil 图标，再选择 Edit user。

4. 此时会显示 Edit user 页面，您可以在其中修改用户详细信息，如密码、电子邮件、用户类型 ，以及 组织。

   注意

   如果在升级过程中将用户帐户迁移到 Ansible Automation Platform 2.5，并且具有单个服务的管理员特权，则额外的用户类型复选框将可用。您可以使用这些复选框来撤销或添加单个权限，或者将用户指定为平台管理员、系统审核员或普通用户。

5. 完成更改后，单击 Save user。

流程

1. 在导航面板中，选择 Access Management → Users。
2. 选中您要删除的用户的复选框。

3. 点击您要删除的用户旁边的 WWN 图标，然后选择 Delete user。

   注意

   您可以通过选择您要删除的每个用户旁边的复选框来删除多个用户，然后从 More actions WWN 列表中选择 Delete users。

流程

1. 在导航面板中，选择 Access Management → Users。
2. 在 Users 列表视图中，点您要添加角色的用户。
3. 选择 Roles 选项卡，以显示分配给此用户的角色集合。它们提供了读取、修改和管理资源的能力。

4. 若要添加新角色，可单击 Add roles。

   注意

   如果安装了多个 Ansible Automation Platform 组件，您将在 Roles 菜单栏中看到与每个组件关联的角色选择。例如，自动化控制器角色的 Automation Execution，Event-Driven Ansible 角色的 Automation Decisions。

5. 选择资源类型 并单击下一步。
6. 选择将接收新角色的资源，然后单击下一步。
7. 选择要应用到资源的角色，然后单击 Next。

8. 检查设置并点 Finish。

   Add roles 对话框显示角色分配是否已成功应用。点 Close 关闭对话框。

流程

1. 在导航面板中，选择 Access Management → Users。
2. 选择您要从中删除角色的用户名。

3. 选择 Roles 选项卡。

   注意

   如果安装了多个 Ansible Automation Platform 组件，您将在 Roles 菜单栏中看到与每个组件关联的角色选择。例如，自动化控制器角色的 Automation Execution，Event-Driven Ansible 角色的 Automation Decisions。

4. 选中您要删除的每个资源旁边的复选框，然后从菜单栏中的 More actions && 列表中选择 Remove selected roles。
5. 选中该复选框以确认移除所选角色，然后单击 删除角色。

流程

1. 在导航面板中，选择要提供团队访问的资源。例如，Automation Execution → Templates。
2. 选择 Team Access 选项卡。
3. 点 Add roles。
4. 点团队旁边的复选框将该团队分配给您选择的资源类型，然后点 Next。
5. 选择您要应用到所选资源团队的角色，然后点 Next。
6. 检查设置并点 Finish。Add roles 对话框显示角色分配是否已成功应用。
7. 您可以选择团队旁边的 Remove role 图标来删除团队的资源访问。这会启动一个确认对话框，要求您确认删除。

流程

1. 在导航面板中，选择要提供团队访问的资源。例如，Automation Execution → Templates。
2. 选择 User access 选项卡。
3. 点 Add roles。
4. 单击用户旁边的复选框，将该用户分配给您选择的资源类型，然后单击下一步。
5. 选择您要应用到所选资源的用户的角色，然后点 Next。
6. 检查设置并点 Finish。Add roles 对话框显示角色分配是否已成功应用。
7. 您可以通过选择用户旁边的 Remove role 图标来删除用户的资源访问。这会启动一个确认对话框，要求您确认删除。

流程

1. 在导航面板中，选择 Settings → Platform gateway。
2. 此时会显示 Platform 网关设置页面。
3. 要配置选项，请点击 Edit。

4. 您可以配置以下 安全设置 ：

   • 允许 admin 设置不安全的 ：在编辑任何本地用户帐户时，超级用户帐户都可以保存不安全的密码。

   • 启用网关基本身份验证 ：启用平台网关 API 的基本身份验证。

     关闭这个关闭可防止所有基本身份验证（本地用户），因此客户需要在这样做前确保正确配置其替代的验证机制。

     仅配置了本地身份验证来关闭它也会防止所有对 UI 的访问。

     社交身份验证用户名是完整的电子邮件 ：启用此设置警报社交身份验证，以将完整电子邮件用作用户名而不是全名。

     网关令牌名称 ：从代理推送到后端服务的标头名称。

     警告

     如果更改了此名称，则必须更新后端以补偿。

   • 网关访问令牌到期 ：访问令牌有效的时间。

   • JWT 私钥 ：用于加密发送到后端服务的 JWT 令牌的私钥。

     这应该是私有 RSA 密钥，应该在安装时自动生成。

     注意

     在轮转密钥时请小心，因为它将导致当前会话失败，直到重置 JWT 密钥为止。

   • （只读） Jwt 公钥 ：用于加密发送到后端服务的 JWT 令牌的私钥。

     这应该是私有 RSA 密钥，应该在安装时自动生成。

     注意

     参阅其他服务的文档，了解它们如何使用此密钥。

5. 点 Save changes 保存更改或继续配置其他可用的平台选项。

流程

1. 在导航面板中，选择 Settings → Platform gateway。
2. 此时会显示 Platform 网关设置页面。
3. 要配置选项，请点 Edit platform gateway settings。
4. 在 Session cookie age 字段中输入会话过期前的时间（以秒为单位）。
5. 点 Save platform gateway settings 以保存更改或继续配置其他可用的平台选项。

流程

1. 在导航面板中，选择 Settings → Platform gateway。
2. 此时会显示 Platform 网关设置页面。
3. 要配置选项，请点 Edit platform gateway settings。

4. 您可以配置以下 密码安全选项 ：

   • 密码最小大写字母 ：需要位于本地密码中的大写字母字符。
   • 密码最小长度 ：本地密码的最小长度。
   • 密码最小数字 数字：需要在本地密码中有多个数字字符。
   • 密码最小特殊字符 ：本地密码中需要有多少个特殊字符.
5. 点 Save platform gateway settings 以保存更改或继续配置其他可用的平台选项。

流程

1. 访问平台网关节点上的命令行。

2. 使用 aap-gateway-manage shell_plus 命令打开交互式 Django shell：

   aap-gateway-manage shell_plus

   Copy to Clipboard Toggle word wrap

3. 在 shell 中，运行以下命令来导入加密库、设置密码并生成加密的字符串：

   >>> from ansible_base.lib.utils.encryption import ansible_encryption
   >>> value = 'your-database-password' # REPLACE with your actual password
   >>> encrypted_value = ansible_encryption.encrypt_string(value)
   >>> print(encrypted_value)

   Copy to Clipboard Toggle word wrap
4. 复制以 $encrypted$ 开始的整个输出字符串。这是您的加密密码。
5. 使用 quit （） 退出 shell。

6. 打开平台网关配置文件进行编辑：

   vi /etc/ansible-automation-platform/gateway/settings.py

   Copy to Clipboard Toggle word wrap
7. 找到定义 DATABASES 变量的部分。您必须在定义 DATABASES 字典前插入代码来加载 SECRET_KEY。

8. 更新该文件使其包含突出显示的代码，只使用您复制的加密字符串替换 PASSWORD 键的占位符文本：

   from ansible_base.lib.utils.encryption import ansible_encryption
   from django.conf import settings
   
   # ... other configuration settings ...
   
   # The GATEWAY_SECRET_KEY_FILE is typically defined earlier in settings.
   # The SECRET_KEY must be loaded before the decryption function is called.
   with open(GATEWAY_SECRET_KEY_FILE, 'rb') as f:
       settings.SECRET_KEY = f.read().strip()
   
   DATABASES = {
       'default': {
           'ENGINE': 'django.db.backends.postgresql',
           'HOST': '10.0.108.77', # Example host, use your value
           # ... other database settings ...
           'PASSWORD':
           ansible_encryption.decrypt_string('$encrypted$UTF8$AESCBC$Z0FBQUFBQnBBNU...
           <YOUR_ENCRYPTED_STRING>...QWdPUHM9'),
           # ... other database settings ...
           'PORT': '5432', # Example port, use your value
       }
   }

   Copy to Clipboard Toggle word wrap
9. 保存并关闭该文件。

10. 重启平台网关来载入新的加密配置：

    sudo systemctl restart aap-gateway

    Copy to Clipboard Toggle word wrap

流程

1. 在导航面板中，选择 Settings → Platform gateway。
2. 此时会显示 Platform 网关设置页面。
3. 点 Edit platform gateway settings。

4. 您可以配置以下 其他设置 ：

   • JWT 到期缓冲区( 以秒为单位)：从缓存中撤销 JWT 令牌到期前的秒数。

     当身份验证发生时，会为用户创建 JWT 令牌并且该令牌被缓存。当后续调用发生到自动化控制器或 Event-Driven Ansible 等服务时，令牌将从缓存中获取并发送到该服务。令牌和令牌的缓存都具有过期时间。如果令牌在缓存中过期，则身份验证过程尝试会导致 401 错误（未授权）。此设置通过从缓存中删除 JWT 令牌来提供 Red Hat Ansible Automation Platform 缓冲，然后再令牌过期。当令牌从缓存新令牌时，会为用户生成并缓存新令牌。因此，永远不会使用从缓存中过期的令牌。此设置默认为 2 秒。如果您在平台网关和服务之间有较大延迟，并观察 401 响应，您必须增加此设置以降低 401 响应的数量。

   • 状态端点后端超时时间: Timeout （以秒为单位）用于在尝试连接到后端时等待状态端点。
   • 状态端点后端验证: 指定在调用单个节点进行状态时是否验证了服务的 SSL 证书。
   • Request timeout ：指定代理报告超时并生成 504 之前的时间长度（以秒为单位）。
   • "允许外部用户创建 OAuth2 令牌]：出于安全原因，不允许外部身份验证供应商（如 LDAP、SAML、SSO、Radius 等）的用户创建 OAuth2 令牌。要更改此行为，请启用此设置。当此设置关闭时，现有令牌不会被删除。
5. 点 Save platform gateway settings 以保存更改或继续配置其他可用的平台选项。