第 2 章 使用红帽构建 Keycloak (RHBK)进行身份验证

流程

1. 要允许 Developer Hub 使用 RHBK 进行身份验证，请完成 RHBK 中的步骤，创建 realm 和用户，并保护第一个应用程序:

   1. 使用现有域，或使用不同的名称（如 < my_ realm > ）创建一个 域。为下一步保存值：

      • RHBK 域基本 URL，例如： < your_rhbk_URL> /realms/ <your_realm>。

   2. 要在 RHBK 中注册您的 Developer Hub，请在创建域中注册 第一个应用程序，使用以下内容保护第一个应用程序 ：

      1. 客户端 ID ：不同的客户端 ID，如 < RHDH>。
      2. 有效的重定向 URI ：设置为 OIDC 处理程序 URL: https:// <RHDH_URL&gt; /api/auth/oidc/handler/frame.
      3. 导航到 Credentials 选项卡，再复制 Client secret。

      4. 保存下一步的值：

         • 客户端 ID
         • Client Secret
   3. 要准备验证步骤，请在同一域中获取现有用户 或创建用户的凭证 信息。保存验证步骤的用户凭证信息。

2. 要将 RHSSO 凭证添加到 Developer Hub 中，请将以下键/值对添加到 Developer Hub secret 中：

   AUTH_OIDC_CLIENT_ID

   输入保存 的客户端 ID。

   AUTH_OIDC_CLIENT_SECRET

   输入保存 的客户端 Secret。

   AUTH_OIDC_METADATA_URL

   输入保存的 RHBK 域基础 URL。

3. 要在 Developer Hub 自定义配置中设置 RHBK 身份验证供应商，请编辑自定义 Developer Hub ConfigMap，如 app-config-rhdh，并将以下行添加到 app-config.yaml 内容：

   app-config.yaml 片段带有强制字段，以启用 RHBK 身份验证

   auth:
     environment: production
     providers:
       oidc:
         production:
           metadataUrl: ${AUTH_OIDC_METADATA_URL}
           clientId: ${AUTH_OIDC_CLIENT_ID}
           clientSecret: ${AUTH_OIDC_CLIENT_SECRET}
   signInPage: oidc

   环境：production

   将环境标记为 production，以在 Developer Hub 主页中隐藏 Guest 登录。

   metadataUrl, clientId, clientSecret

   使用您的 secret 配置 OIDC 供应商。

   sigInPage: oidc

   将 OIDC 供应商作为默认登录供应商启用。

   可选： 考虑添加以下可选字段：

   dangerouslyAllowSignInWithoutUserInCatalog: true

   要启用身份验证，而无需在 Developer Hub 软件目录中置备用户。

   警告

   使用这个选项探索 Developer Hub 功能，但不要在生产环境中使用它。

   带有可选字段的 app-config.yaml 片段，允许验证软件目录中缺少的用户

   auth:
     environment: production
     providers:
       oidc:
         production:
           metadataUrl: ${AUTH_OIDC_METADATA_URL}
           clientId: ${AUTH_OIDC_CLIENT_ID}
           clientSecret: ${AUTH_OIDC_CLIENT_SECRET}
   signInPage: oidc
   dangerouslyAllowSignInWithoutUserInCatalog: true

1. 在导航菜单的 Configure 部分中，单击 Realm Settings。
2. 从 Realm Settings 页面，单击 Tokens 选项卡。
3. 在 Tokens 选项卡的 Refresh tokens 部分中，将 Revoke Refresh Token 切换到 Enabled 位置。

验证

1. 进入 Developer Hub 登录页面。
2. 您的 Developer Hub 签名页面显示 使用 OIDC 的 Sign in，并且 guest 用户登录被禁用。
3. 使用保存 的用户名和密码 值使用 OIDC 登录。