設定 Amazon Cognito

如果您的組織使用 Amazon Cognito 進行使用者身份驗證,您可以設定 Rancher 以允許使用 Amazon Cognito 憑證登入。以下說明描述如何設定 Rancher 與 Amazon Cognito 配合使用:

前置需求

• 在 Rancher 中:
  • Amazon Cognito 已停用。

備註

請參閱 Amazon Cognito 文件以設定使用者池。

• 在 Amazon Cognito 中:
  • 建立新的使用者池或使用現有的使用者池。
  • 在 App client 設定中,將重新導向 URL 設定為 https://yourRancherHostURL/verify-auth。將 yourRancherHostURL 替換為您 Rancher 實例的實際主機名稱(例如,https://rancher.example.com/verify-auth)。

在 Rancher 中設定 Amazon Cognito

1. 在 Rancher UI 的左上角,點擊 ☰ > Users & Authentication。

2. 在左側導覽列中,點擊 Auth Provider。

3. 選擇 Amazon Cognito。

4. 完成 Configure an Amazon Cognito account 表單。如需填寫表單的協助,請參閱設定參考。

5. 點擊 Enable。

   Rancher 會將您重新導向至 Amazon Cognito 登入頁面。輸入您的 Amazon Cognito 憑證以驗證您的 Rancher 設定。

   備註

   您可能需要停用彈出視窗封鎖程式才能看到 Amazon Cognito 登入頁面。

結果: Rancher 已設定為使用 OIDC 協定與您的 Amazon Cognito 配合使用。您的使用者現在可以使用他們的 Amazon Cognito 登入資訊登入 Rancher。

備註

Amazon Cognito 不支援使用者和群組搜尋。在為專案或叢集分配權限時,如果使用者尚未登入 Rancher,您必須手動輸入 Cognito 生成的 UserID。但是,如果使用者之前已登入,您可以使用他們的使用者名稱或電子郵件地址分配權限。

設定參考

欄位	描述
Client ID	您的 Amazon Cognito App Client 的 Client ID。
Client Secret	您的 Amazon Cognito App Client 生成的 Secret。
Issuer	您的 Amazon Cognito App Client 的 Issuer URL。它遵循格式 https://cognito-idp.{region}.amazonaws.com/{userPoolId},可以在 App Client 設定頁面中找到。Rancher 使用 Issuer URL 來取得所有必需的 URL。

疑難排解

您未被重新導向至身份驗證提供者

如果您填寫 Configure an Amazon Cognito account 表單並點擊 Enable,但未被重新導向至 Amazon Cognito,請驗證您的 Amazon Cognito 設定。

設定 OIDC 單一登出 (SLO)

備註

此功能在 Rancher v2.7.2 及更高版本中可用。

單一登出（SLO）允許使用者在單一操作中登出所有應用程式。當您在 Rancher 中啟用 OIDC SLO 時，使用者可以同時登出 Rancher 和他們的 OIDC 提供者。

若要配置 OIDC SLO：

1. 在左上角，點選 ☰ > Users & Authentication。
2. 在左側導覽選單中，點選 Auth Provider。
3. 找到您的 OIDC 提供者並點選 ⋮ > Edit Config。
4. 在 Single Logout 下，勾選 Enabled 核取方塊。
5. 在 End Session Endpoint 欄位中，輸入您的 OIDC 提供者的結束會話端點 URL。此端點通常由您的 OIDC 提供者提供文件說明。
6. 點選 Save。

結果： 使用者現在可以透過點選他們的個人資料圖示並選擇 Log Out，同時登出 Rancher 和 OIDC 提供者。