14.9. 使用 TOTP 配置红帽单点登录身份验证

1. 用户使用 Satellite Web UI 向 Satellite 进行身份验证。
2. 用户使用 Satellite CLI 向 Satellite 进行身份验证。

流程

1. 在 Satellite 服务器上安装以下软件包：

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install

   Copy to Clipboard Toggle word wrap

2. 将 Satellite 注册到 Red Hat Single Sign-On 作为客户端。请注意，您使用 Web UI 和 CLI 登录的注册过程不同。您可以将两个客户端 Satellite 客户端注册到红帽单点登录，以便能够通过 Web UI 和 CLI 登录 Satellite。

   • 如果您希望用户使用 Web UI 向 Satellite 进行身份验证，请按如下所示创建客户端：

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     Copy to Clipboard Toggle word wrap

     提示时输入管理帐户的密码。此命令在红帽单点登录中为 Satellite 创建客户端。

     然后，将 Satellite 配置为使用 Red Hat Single Sign-On 作为身份验证源：

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

     Copy to Clipboard Toggle word wrap

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请创建客户端，如下所示：

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     Copy to Clipboard Toggle word wrap

     提示时输入管理帐户的密码。此命令在红帽单点登录中为 Satellite 创建客户端。

3. 重启 httpd 服务：

   # systemctl restart httpd

   Copy to Clipboard Toggle word wrap

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Clients 并点 Satellite 客户端。

2. 配置访问类型：

   • 如果您希望用户使用 Satellite Web UI 验证 Satellite，请从 Access Type 列表中选择 机密。
   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请从 Access Type 列表中选择 public。

3. 在 Valid redirect URI 字段中，添加有效的重定向 URI。

   • 如果您希望用户使用 Satellite Web UI 验证 Satellite，位于现有 URI 下的空白字段中，以 https://satellite.example.com/users/extlogin 格式输入 URI。请注意，您必须在 Satellite FQDN 后添加字符串 /users/extlogin。

     完成此步骤后，使用 Satellite Web UI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

     Copy to Clipboard Toggle word wrap

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，在现有 URI 下的空白字段中，输入 urn:ietf:wg:oauth:2.0:oob。

     完成此步骤后，使用 CLI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

     Copy to Clipboard Toggle word wrap
4. 点击 Save。
5. 点 Mappers 选项卡，点 Create 添加 audience mapper。
6. 在 Name 字段中输入 audience mapper 的名称。
7. 从 Mapper Type 列表中，选择 Audience。
8. 从 Included Client Audience 列表中，选择 Satellite 客户端。
9. 点击 Save。
10. 点 Create 添加组映射程序，以便您可以根据组成员资格在 Satellite 中指定授权。
11. 在 Name 字段中输入 group mapper 的名称。
12. 从 Mapper Type 列表中，选择 Group Membership。
13. 在 Token Claim Name 字段中输入 groups。
14. 将 Full group path 设置为 OFF。
15. 点击 Save。

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Satellite 域。
2. 导航到 Authentication，然后单击 OTP Policy 选项卡。
3. 确保 支持的 Applications 字段包含 FreeOTP 或 Google Authenticator。
4. 配置 OTP 设置以满足您的要求。
5. 可选：如果要将 TOTP 身份验证用作所有用户的默认身份验证方法，请点 Flows 选项卡，并在 OTP Form 设置右侧选择 REQUIRED。
6. 点 Required Actions 选项卡。
7. 在 Configure OTP 行右侧，选中 Default Action 复选框。

流程

1. 登录到 Satellite，Satellite 会重定向到 Red Hat Single Sign-On 登录屏幕。
2. 输入您的用户名和密码，然后单击 Log In。
3. 第一次尝试登录，Red Hat Single Sign-On 请求通过扫描 barcode 并输入 pin 来配置客户端。
4. 配置客户端并输入有效的 PIN 后，Red Hat Single Sign-On 会将您重定向到 Satellite 并登录。

流程

1. 要使用代码授权类型向 Satellite CLI 进行身份验证，请输入以下命令：

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   Copy to Clipboard Toggle word wrap

   该命令会提示您输入成功代码。

2. 要检索成功代码，请导航到命令返回的 URL 并提供所需信息。
3. 复制 Web UI 返回的成功代码。
4. 在 hammer auth login oauth 命令提示符中，输入成功代码来向 Satellite CLI 进行身份验证。

流程

1. 在 Satellite Web UI 中，导航到 Administer > User Groups，然后点 Create User Group 按钮。
2. 在 Name 字段中输入用户组的名称。名称不应与 Active Directory 中相同。
3. 不要将用户和用户组添加到右侧列。点 Roles 选项卡。
4. 选中 Administer 复选框。
5. 点 External Groups 选项卡。
6. 单击 Add external user group。
7. 在 Name 字段中输入 Active Directory 组的名称。
8. 从列表中选择 EXTERNAL。