访问控制和用户管理

流程

1. 编辑 argocd CR：

   $ oc edit argocd [argocd-instance-name] -n [namespace]

   输出

   metadata
   ...
   ...
     rbac:
       policy: 'g, rbacsystem:cluster-admins, role:admin'
       scopes: '[groups]'

2. 将策略配置添加到 rbac 部分，再添加要应用到 用户的名称 和所需的角色：

   metadata
   ...
   ...
   rbac:
       policy: g, <name>, role:<admin>
       scopes: '[groups]'

1. 通过从 Argo CD 自定义资源 (CR) 中删除 .spec.sso.dex 参数来删除 Dex 配置，并保存 CR：

   dex:
       openShiftOAuth: true
       resources:
         limits:
           cpu:
           memory:
         requests:
           cpu:
           memory:

2. 在 Argo CD CR 中将 provider 参数的值设置为 keycloak。

3. 通过执行以下步骤配置 Keycloak：

   • 对于安全连接，设置 rootCA 参数的值，如下例所示：

     apiVersion: argoproj.io/v1beta1
     kind: ArgoCD
     metadata:
       name: example-argocd
       labels:
         example: basic
     spec:
       sso:
         provider: keycloak
         keycloak:
           rootCA: "<PEM-encoded-root-certificate>" 

     1

     
       server:
         route:
           enabled: true

     1

     用于验证 Keycloak 的 TLS 证书的自定义证书。

     Operator 会协调 .spec.sso.keycloak.rootCA 参数中的更改，并使用 argocd-cm 配置映射中 PEM 编码的 root 证书更新 oidc.config 参数。

   • 对于不安全连接，将 rootCA 参数的值留空，并使用 oidc.tls.insecure.skip.verify 参数，如下所示：

     apiVersion: argoproj.io/v1beta1
     kind: ArgoCD
     metadata:
       name: example-argocd
       labels:
         example: basic
     spec:
       extraConfig:
         oidc.tls.insecure.skip.verify: "true"
       sso:
         provider: keycloak
         keycloak:
           rootCA: ""

   • 可选：自定义 spec.sso.keycloak 字段，在 ArgoCD CR 中为 keycloak 供应商添加路由名称。使用此功能支持高级路由用例，如在多个 Ingress Controller 分片 之间平衡传入的流量负载。

     • 使用以下示例 YAML 在 ArgoCD CR 中添加 host 参数：

       ArgoCD CR 示例

       apiVersion: argoproj.io/v1alpha1
       kind: ArgoCD
       metadata:
         name: <resource_name> 

       1

       
         labels:
           example: route
       spec:
         sso:
           provider: keycloak
           keycloak:
            host: <hostname> 

       2

       
         server:
           ingress:
             enabled: true
           insecure: true

       1

       将 <resource_name > 替换为 ArgoCD CR 的名称。

       2

       将 <hostname > 替换为主机密钥的名称，如 sso.test.example.com。

     • 要创建 ArgoCD CR，请运行以下命令：

       $ oc create -f <argocd_filename>.yaml -n <your-namespace>

     • 要编辑 ArgoCD CR，请运行以下命令：

       $ oc edit -f <argocd_filename>.yaml -n <your_namespace>

     • 保存文件以使改变生效。

     • 要应用 ArgoCD CR，请运行以下命令：

       $ oc apply -f <argocd_filename>.yaml -n <your_namespace>

     • 运行以下命令验证 host 属性是否已添加：

       $ oc get route keycloak -n <your_namespace> -o yaml

       输出示例

       kind: Route
       metadata:
         name: keycloak 

       1

       
         labels:
           application: keycloak
       spec:
         host: sso.test.example.com
       status:
         ingress:
           - host: sso.test.example.com 

       2

       1

       指定路由的名称。

       2

       指定主机密钥的名称。

流程

1. 获取用于登录的 Keycloak 路由 URL：

   $ oc -n argocd get route keycloak
   
   NAME        HOST/PORT                                                        PATH   SERVICES   PORT    TERMINATION   WILDCARD
   keycloak    keycloak-default.apps.ci-ln-******.origin-ci-int-aws.dev.**.com         keycloak   <all>    reencrypt     None

2. 获取将用户名和密码存储为环境变量的 Keycloak pod 名称：

   $ oc -n argocd get pods
   
   NAME                      READY   STATUS           RESTARTS   AGE
   keycloak-1-2sjcl           1/1    Running            0        45m

   1. 获取 Keycloak 用户名：

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_USERNAME
      
      SSO_ADMIN_USERNAME=Cqid54Ih

   2. 获取 Keycloak 密码：

      $ oc -n argocd exec keycloak-1-2sjcl -- "env" | grep SSO_ADMIN_PASSWORD
      
      SSO_ADMIN_PASSWORD=GVXxHifH

3. 在登录页面上，点 LOG IN VIA KEYCLOAK。

   注意

   您只能在 Keycloak 实例就绪后看到 LOGIN VIA KEYCLOAK 选项。

4. 点 Login with OpenShift。

   注意

   不支持使用 kubeadmin 登录。

5. 输入要登录的 OpenShift 凭据。

6. 可选： 默认情况下，登录到 Argo CD 的任何用户都具有只读访问权限。您可以通过更新 argocd-rbac-cm 配置映射来管理用户级别访问权限：

   policy.csv:
   <name>, <email>, role:admin