4.5. 使用 OpenID Connect (OIDC)协议的 Ceph Dashboard SSO

步骤

1. 部署 mgmt-gateway 服务。

   语法

   ceph orch apply mgmt-gateway [--placement=DESTINATION_HOST] [--enable-auth=true]

   注意

   需要 --enable-auth=true 参数启用带有 oauth2-proxy 的 SSO。

   示例

   [ceph: root@host01 /]# ceph orch apply mgmt-gateway --placement=host01

2. 验证服务是否已正确部署。

步骤

1. 为 mgmt-gateway 服务创建一个 YAML 文件。

   示例

   [root@host01 ~]# touch mgmt-gateway.yaml

2. 编辑 YAML 文件，使其包含以下详情：

   重要

   以下字段是可选的： ssl_protocols,ssl_ciphers, 和 ssl_certificate。省略时，mgmt-gateway 服务使用安全且安全的配置。允许更改这些字段，但应小心操作，因为这会破坏您系统的安全性。

   语法

   service_type: mgmt-gateway
   placement:
     hosts:
       - ceph-node-1
   spec:
    port: 9443
    ssl_protocols:   # Optional
      - TLSv1.3
    ssl_ciphers:     # Optional
      - AES128-SHA
      - AES256-SHA
      - RC4-SHA
    ssl_cert: |   # Optional
      -----BEGIN CERTIFICATE-----
      < YOU CERT DATA HERE >
      -----END CERTIFICATE-----
    ssl_key: |
     -----BEGIN RSA PRIVATE KEY-----
      < YOU PRIV KEY DATA HERE >
     -----END RSA PRIVATE KEY-----

   重要

   使用 TLSv1.3 SSL 协议。TLSv1.3 默认包含一组安全密码。虽然支持 TLSv1.2，但在使用此协议时只使用安全密码的子集。使用弱或过时的密码可能会显著破坏您的系统的安全性。

   示例

   service_type: mgmt-gateway
   service_id: gateway
   placement:
     hosts:
       - ceph0
   spec:
    port: 5000
    ssl_protocols:
      - TLSv1.3
      - ...
    ssl_ciphers:
      - AES128-SHA
      - AES256-SHA
      - ...
    ssl_cert: |
      -----BEGIN CERTIFICATE-----
      MIIDtTCCAp2gAwIBAgIYMC4xNzc1NDQxNjEzMzc2MjMyXzxvQ7EcMA0GCSqGSIb3
      DQEBCwUAMG0xCzAJBgNVBAYTAlVTMQ0wCwYDVQQIDARVdGFoMRcwFQYDVQQHDA5T
      [...]
      -----END CERTIFICATE-----
   ssl_key: |
      -----BEGIN PRIVATE KEY-----
      MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQC5jdYbjtNTAKW4
      /CwQr/7wOiLGzVxChn3mmCIF3DwbL/qvTFTX2d8bDf6LjGwLYloXHscRfxszX/4h
      [...]
      -----END PRIVATE KEY-----

   下表列出了特定于 spec 文件的 mgmt-gateway 服务部分的字段(ceph.deployment.service_spec.MgmtGatewaySpec)。

   Expand

   表 4.1. spec 文件中的 mgmt-gateway 特定字段

   字段	描述
   disable_https	是禁用 HTTPS 的标记。如果为 True，服务器将使用不安全的 HTTP。
   enable_auth	是启用 SSO 身份验证的标志。要求 oauth2-proxy 处于活动状态，以进行 SSO 身份验证。
   networks	网络身份列表，指示守护进程仅在该列表中的特定网络上绑定。如果集群在多个网络间分布，您可以添加多个网络。
   placement	若要让编配器部署服务，需要知道部署守护进程的位置以及要部署的数量。这是放置规格的角色。放置规格可以作为命令行参数或 YAML 文件传递。有关更多信息，请参阅使用 Ceph 编排器管理服务。
   port	服务器将侦听的端口号。
   server_tokens	标记响应中的服务器令牌：在 上、关闭、构建、字符串。
   ssl_cert	包含 SSL 证书的多行字符串。
   ssl_key	包含 SSL 密钥的多行字符串。
   ssl_ciphers	支持的安全 SSL 密码列表。更改此列表可能会降低系统安全性。
   ssl_prefer_server_ciphers	首选使用客户端密码的服务器密码： 在 上，关闭。
   ssl_protocols	支持的 SSL 协议列表（如 nginx 支持的）。
   ssl_session_cache	SSL/TLS 会话缓存持续时间： off,none,[builtin[:size ] , [shared:name:size].
   ssl_session_tickets	控制会话票据的多选项标志： 在 上，关闭。
   ssl_session_timeout	SSL 会话超时的持续时间。语法：时间（例如 5m）。
   ssl_stapling	用于启用或禁用 SSL stapling: on 的标志，关闭。
   ssl_stapling_verify	用于控制 SSL stapling 的验证的标志： 在 上，关闭。

   Show more

3. 应用规格文件。

   语法

   [root@host01 ~]# ceph orch apply -i mgmt-gateway.yaml

步骤

1. 将 Red Hat Single Sign-On 7.6.0 Server 下载到安装 IBM Storage Ceph 的系统上。有关下载软件包和信息，请参阅红帽客户门户网站中的 Red Hat Single Sign-On 7.6.0 Server 的软件 详情。 https://access.redhat.com/jbossnetwork/restricted/softwareDetail.html?softwareId=104539&product=core.service.rhsso&version=7.6&downloadType=distributions

2. 提取文件夹：

   语法

   [root@host01 ~]# unzip rhsso-7.6.0.zip

3. 进入新创建的 rhsso-7.6.0 目录下的独立 /配置目录，并打开 standalone.xml 文件进行编辑

   语法

   [root@host01 ~]# cd standalone/configuration
   [root@host01 configuration]# vi standalone.xml

4. 将 localhost 和 127.0.0.1 替换为安装 Red Hat Single-Sign On 的服务器的 IP 地址。

5. 在新创建的 rhsso-7.6.0 文件夹的 bin 目录中，运行 add-user-keycloak 脚本来添加初始管理员用户：

   语法

   [root@host01 bin]# ./add-user-keycloak.sh -u admin

6. 可选： Red Hat Enterprise Linux 8 或更高版本的用户可能会获得证书颁发机构(CA)问题。从 CA 导入自定义证书，并将它们移到带有确切的 Java 版本的密钥存储中。

   语法

   keytool -import -noprompt -trustcacerts -alias ca -file ../ca.cer -keystore /etc/java/java-1.8.0-openjdk/java-1.8.0-openjdk-1.8.0.272.b10-3.el8_3.x86_64/lib/security/cacert

7. 启动服务器。在 rh-sso-7.6 文件夹的 bin 目录中，运行 独立 引导脚本：

   [root@host01 bin]# ./standalone.sh

8. 使用创建的新用户名和密码，登录 https:IP_ADDRESS:8080/auth 中的 admin 帐户。

   注意

   只有在第一次登录到控制台时，才需要创建一个 admin 帐户。