5.9. 使用红帽单点登录身份验证配置 Satellite

1. 用户使用 Satellite Web UI 向 Satellite 进行身份验证。
2. 用户使用 Satellite CLI 向 Satellite 进行身份验证。

流程

1. 在 Satellite 服务器中安装以下软件包：

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install python3-lxml

2. 将 Satellite 注册到 Red Hat Single Sign-On 作为客户端。请注意，您使用 Web UI 和 CLI 登录的注册过程会有所不同。您可以将两个客户端 Satellite 客户端注册到红帽单点登录，以便能够通过 Web UI 和 CLI 登录 Satellite。

   • 如果您希望用户使用 Web UI 向 Satellite 进行身份验证，请按如下所示创建一个客户端：

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     出现提示时，输入 管理帐户的密码。此命令在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

     然后，将 Satellite 配置为使用 Red Hat Single Sign-On 作为身份验证源：

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请按如下所示创建一个客户端：

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     出现提示时，输入 管理帐户的密码。此命令在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

3. 重启 httpd 服务：

   # systemctl restart httpd

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Clients 并单击 Satellite 客户端。

2. 配置访问类型：

   • 如果您希望用户使用 Satellite Web UI 向 Satellite 进行身份验证，请从 Access Type 列表中选择 confidential。
   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请从 Access Type 列表中选择 public。

3. 在 Valid redirect URI 字段中，添加有效的重定向 URI。

   • 如果您希望用户使用 Satellite Web UI 向 Satellite 进行身份验证，请在现有 URI 下的空白字段中输入 URI https://satellite.example.com/users/extlogin。请注意，您必须在 Satellite FQDN 后添加字符串 /users/extlogin。

     完成此步骤后，使用 Satellite Web UI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • 如果您希望用户使用 CLI 对 Satellite 进行身份验证，请在现有 URI 的空白字段中输入 urn:ietf:wg:oauth:2.0:oob。

     完成此步骤后，使用 CLI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. 点击 Save。
5. 点 Mappers 选项卡，然后点 Create 添加受众映射程序。
6. 在 Name 字段中输入 audience mapper 的名称。
7. 从 Mapper Type 列表中，选择 Audience。
8. 从 Included Client Audience 列表中，选择 Satellite 客户端。
9. 点击 Save。
10. 点 Create 添加组映射器，以便您可以根据组成员资格在 Satellite 中指定授权。
11. 在 Name 字段中输入组映射程序的名称。
12. 从 Mapper Type 列表中，选择 Group Membership。
13. 在 Token Claim Name 字段中输入组。
14. 将 Full group path 设置为 OFF。
15. 点击 Save。

流程

1. 要使用代码授权类型向 Satellite CLI 进行身份验证，请输入以下命令：

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   该命令会提示您输入一个成功的代码。

2. 若要检索成功代码，请导航到命令返回的 URL，并提供所需的信息。
3. 复制 Web UI 返回的成功代码。
4. 在 hammer auth 登录 oauth 的命令提示符中，输入用于向 Satellite CLI 进行身份验证的成功代码。

流程

1. 在 Satellite Web UI 中，进入到 Administer > User Groups。
2. 单击 Create User Group。
3. 在 Name 字段中输入用户组的名称。名称不应与 Active Directory 中的名称相同。
4. 不要将用户和用户组添加到右列中。点 Roles 选项卡。
5. 选中 Administer 复选框。
6. 点 External Groups 选项卡。
7. 单击 Add external user group。
8. 在 Name 字段中输入 Active Directory 组的名称。
9. 从列表中选择 EXTERNAL。