設定 FreeIPA

如果您的組織使用 FreeIPA 進行使用者身份驗證,您可以設定 Rancher 以允許您的使用者使用他們的 FreeIPA 憑證登入。

前置需求:

• 您必須設定好 FreeIPA Server。
• 在 FreeIPA 中建立具有 read-only 存取權限的服務帳戶。當使用者使用 API 金鑰發出請求時,Rancher 使用此帳戶來驗證群組成員資格。
• 閱讀外部身份驗證設定和主要使用者。

1. 使用被分配 administrator 角色的本地使用者登入 Rancher(即 本地主體)。

2. 在左上角,點擊 ☰ > Users & Authentication。

3. 在左側導覽選單中,點擊 Auth Provider。

4. 點擊 FreeIPA。

5. 完成 Configure an FreeIPA server 表單。

   您可能需要登入您的網域控制器來找到表單中請求的資訊。

   使用 TLS?

   如果憑證是自簽憑證或不是來自認可的憑證授權單位,請確保您提供完整的鏈。需要該鏈來驗證伺服器的憑證。

   User Search Base 與 Group Search Base

   搜尋基礎允許 Rancher 搜尋您 FreeIPA 中的使用者和群組。這些欄位僅用於搜尋基礎,而不是搜尋篩選器。

   • 如果您的使用者和群組在相同的搜尋基礎中,僅完成 User Search Base。
   • 如果您的群組在不同的搜尋基礎中,您可以選擇性地完成 Group Search Base。此欄位專用於搜尋群組,但不是必需的。

6. 如果您的 FreeIPA 偏離標準 AD 架構,請完成 Customize Schema 表單以匹配它。否則,跳過此步驟。

   Search Attribute

   Search Attribute 欄位預設有三個特定值:uid|sn|givenName。在設定 FreeIPA 後,當使用者輸入文字以新增使用者或群組時,Rancher 會自動查詢 FreeIPA 伺服器並嘗試透過使用者 ID、姓氏或名字來匹配欄位。Rancher 特別搜尋以搜尋欄位中輸入的文字開頭的使用者/群組。

   預設欄位值為 uid|sn|givenName,但您可以將此欄位設定為這些欄位的子集。欄位之間的管道符號 (|) 分隔這些欄位。

   • uid: 使用者 ID
   • sn: 姓氏
   • givenName: 名字

   使用此搜尋屬性,Rancher 為使用者和群組建立搜尋篩選器,但您無法在此欄位中新增自己的搜尋篩選器。

7. 在 Authenticate with FreeIPA 中輸入您的 FreeIPA 使用者名稱和密碼,以確認 Rancher 已設定為使用 FreeIPA 身份驗證。

8. 點擊 Enable。

結果:

• FreeIPA 身份驗證已設定。
• 您已使用 FreeIPA 帳戶登入 Rancher(即 外部主體)。