こんにちはサイオステクノロジーの前田です。
OpenShiftはOpenIDConnectで連携してユーザ管理する方法があります。今回はOpenShiftの中でRed Hat Single Sign-On（RHSSO）を利用して連携する方法を記載します。

OpenShiftのユーザー管理_IDP

ユーザ管理を行う時に、エクセルのような表計算やtextファイルで扱うこともあります。しかしパスワードやセキュリティを考慮すると、2023年現時点では基本的にはアプリケーション(Azure AD等）でユーザを管理してパスワード情報は利用者しかわからないような形式が多いです。OpenShiftでHtpasswd形式でユーザを作れますが、secretというファイル形式に近い管理のため、複数の立場のユーザが利用する場合は別の方法を選びたいです。

本記事では、OpenShiftのユーザー管理で利用するIDPについて説明します。

GoogleやMicrosoft等のアカウント等でサービス提供しているIDPはIdentify Providerの略称で、ユーザーの認証情報を管理するサービスです.　

IDPに関連する用語

IDPに関してはよく混合される用語としては、SSO（シングルサインオン）、OIDC（オープンアイディコネクト）、SAMLがあります。区別をつけず全部まとめてSSOとしている方もおります。利用上は大きな問題にならないですが、今回は少し深掘りして明確にしていきます。

まずはIDPとSSOの関係性の絵になります。

ユーザー ──> SP ──> IDP
  ^        |    |    |
  |        |    |    |
  └───────<────<

• SPはサービスプロバイダー、ユーザが利用したいサービス
• IDPはユーザーの認証情報を提供するサービス
• SSOはこのように一度IDPにログインするだけで、複数のSPにアクセスできる仕組み

SSOの仕組みをつくるためにIDPを利用して、IDPとアプリケーションを関連付けるためにOIDCを利用します。そのためOIDCを利用することがSSOの仕組みを作ることになり、省略して話している方がおられます。

OIDCは、IDPとSSOを実現するための認証プロトコルです。類似なものとしてSAMLが存在します。差異としては下記になります。

RHSSOについて

RHSSOとはRed Hat Single Sign-Onの略称です。Keycloakをもとにしており、シングルサインオン機能を提供します。3scaleで連携してOpenID Connectを実装する目的や、OpenShiftのユーザ管理として利用します。RHSSOは他のIDP（AzureAD）と連携することも可能です

OpenShift環境にインストール可能です。OpenShiftのサブスクリプションではRHSSOのImageに関しての保証があります。OpenShiftではOperatorでインストールする方法とテンプレートでインストールする方法の２種類が存在します。

OpenShift　簡易RHSSO_IDPの設定

RHSSOを利用したユーザ管理の設定を行います。RHSSOのインストール方法はいくつかあります。一番簡単な方法である開発者ポータルのテンプレート機能を利用してデプロイします。

• 環境情報
  • OpenShift環境
    • OCP 4.12
    • AWS基盤を利用
    • 外部ネットワーク接続可能
    • 証明書設定済み（Let’s Encrypt)

※証明書がない場合はRHSSOのデプロイと操作はできますが、OpenShiftとの連携は成功しません。

RHSSOデプロイ

RHSSOをデプロイするためOpenShiftにログインして開発者向け表示に移動

まずは新規プロジェクトを作成しますを選択（testssoと名前に設定）

すべてのサービス　を選択し、キーワードのフィルタでssoと入力します。コンテナが再起動してもデータが保存する目的で、Red Hat Single Sign-On 7.5 on OpenJDK + PostgreSQL(Persistent)のタイプを選択

複数のパラメータが表示されますが、今回は変更せずに　作成　を選択

 

ssoの右上の矢印にアクセスしてwebページにアクセス

rhssoの管理画面にアクセスして、 Adminconsoleを選択してログイン画面に先ほどの認証情報を入力してログイン

ログインできたらRHSSOのデプロイ完了となります。

RHSSO レルム設定

 

OpenShiftとRHSSOの連携　IDP設定

管理→クラスター設定→設定→OAuthの順に選択

アイデンティティープロバイダーの追加でOpenIDconnect選択

設定値をそれぞれ入力

• 名前に　rhssoid (任意の値)
• クライアントIDに  ssoclientと入力
• クライアントシークレットに先ほど取得したCredentialsのSecret情報を入力
• 発行側のURLに SSOの　URL/auth/realms/レルム名　の形で入力 
  • 例)　https://sso-testsso.apps.ocp410test2.xxxxxxx.xx.yyyyyyy.sios.jp/auth/realms/rhssotest
• 追加を選択

※SSOのアクセスが証明書エラーの場合はOpenShiftのCA証明書を設定

設定が追加されていることを確認

※反映まで時間がかかる場合（１０分以上）はClusterOperator画面でエラーが出ていないことを確認

設定確認として管理　→　クラスター設定 → ClusterOperator　→ authenticationの内容でエラーが出てないことを確認

ログアウトして連携設定を確認

追加設定表示のrhssoidを選択

Usernameとパスワードを入力

開発者ポータルにログイン

RHSSOとOpenShiftが連携して、RHSSSOでユーザ管理可能になりました。

OCPのユーザ権限（role）に設定するのは、RHSSOではなくOCPから設定変更を行ってください。

最後に

RHSSOと連携してOpenShiftにユーザ管理機能を追加しました。他のIDPとも連携可能ですが、今回は一番簡単なRHSSOを使用した連携を紹介しました。ユーザ管理もOpenShift初心者の躓きポイントの一つとなっています。本記事が読者の一助となれば幸いです。

About 前田周哉 29 Articles

血液はみかん色。インフラを中心に対応、認証、DB、API、コンテナ基盤,クラウド、iotなど複数のシステムインフラを対応するサーバエンジニア。現在はOpenShift中心にkubernetesに関連する対応が中心。

Twitter YouTube