13.9. 使用 TOTP 配置红帽单点登录身份验证

1. 用户使用卫星 Web UI 验证卫星。
2. 用户使用 Satellite CLI 对 Satellite 进行身份验证。

流程

1. 在 Satellite 服务器中安装以下软件包：

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install

2. 将 Satellite 注册到红帽单点登录作为客户端。请注意，您使用 Web UI 和 CLI 登录的注册过程有所不同。您可以将两个客户端注册到红帽单点登录，以便能够通过 Web UI 和 CLI 登录卫星。

   • 如果您希望用户使用 Web UI 验证 Satellite，请按如下所示创建客户端：

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     在提示时输入 manage 帐户的密码。此命令会在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

     然后，将 Satellite 配置为使用 Red Hat Single Sign-On 作为身份验证源：

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • 如果您希望用户通过 CLI 验证 Satellite，请按如下所示创建客户端：

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     在提示时输入 manage 帐户的密码。此命令会在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

3. 重启 httpd 服务：

   # systemctl restart httpd

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Clients 并单击 Satellite 客户端。

2. 配置访问类型：

   • 如果您希望用户使用 Web UI 向 Satellite 进行身份验证，从 Access Type 列表中选择 confidential。
   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，从 Access Type 列表中选择 public。

3. 在 Valid redirect URI 字段中，添加有效的重定向 URI。

   • 如果您希望用户使用 Web UI 验证 Satellite，在现有 URI 下的空白字段中，以 https://satellite.example.com/users/extlogin 格式输入 URI。请注意，您必须在 Satellite FQDN 之后添加字符串 /users/extlogin。

     完成此步骤后，使用 Web UI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，在现有 URI 下的空白字段中，输入 urn:ietf:wg:oauth:2.0:oob。

     完成此步骤后，使用 CLI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. 点 Save。
5. 点 mappers 选项卡，然后点 Create 添加 audience mapper。
6. 在 Name 字段中输入 audience mapper 的名称。
7. 从 映射类型 列表中，选择 Audience。
8. 从 Included Client Audience 列表中，选择 Satellite 客户端。
9. 点 Save。
10. 点 Create 添加组映射程序，以便您可以根据组成员资格在 Satellite 中指定授权。
11. 在 Name 字段中输入组映射程序的名称。
12. 从 映射类型 列表中，选择 Group Membership。
13. 在 Token Claim Name 字段中输入组 。
14. 将 Full group path 设置设为 OFF。
15. 点 Save。

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Satellite 域。
2. 导航到 Authentication，点 OTP Policy 选项卡。
3. 确保 支持的 Applications 字段包含 FreeOTP 或 Google Authenticator。
4. 配置 OTP 设置以符合您的要求。
5. 可选：如果要将 TOTP 身份验证用作所有用户的默认验证方法，点 Flows 选项卡，然后选择 OTP Form 设置的权利，请选择 REQUIRED。
6. 点 所需的 Actions 选项卡。
7. 在 Configure OTP 行的右侧，选择 Default Action 复选框。

流程

1. 登录卫星，Satellite 重定向到红帽单点登录登录屏幕。
2. 输入您的用户名和密码，然后点击 Log In。
3. 首先尝试登录，通过扫描 barcode 并输入显示 pin，来配置您的客户端的红帽单点登录请求。
4. 在配置客户端并输入有效的 PIN 后，Red Hat Single Sign-On 会将您重定向到 Satellite 并登录。

流程

1. 要使用代码授权类型验证 Satellite CLI，请输入以下命令：

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   该命令提示您输入成功代码。

2. 要检索成功代码，请导航到命令返回并提供所需信息的 URL。
3. 复制 Web UI 返回的成功代码。
4. 在 hammer auth login oauth 命令提示符下，输入成功代码以向 Satellite CLI 进行身份验证。

流程

1. 在 Satellite Web UI 中，导航到 Administer > User Groups，然后单击 Create User Group 按钮。
2. 在 Name 字段中输入用户组群的名称。名称不应与 Active Directory 中的相同。
3. 不要在右列中添加用户和用户组。点 Roles 选项卡。
4. 选中 Administer 复选框。
5. 点 External Groups 选项卡。
6. 点 Add external user group。
7. 在 Name 字段中输入 Active Directory 组的名称。
8. 从列表中，选择 EXTERNAL。