設定 Okta (SAML)

如果您的組織使用 Okta Identity Provider (IdP) 進行使用者身份驗證,您可以設定 Rancher 以允許您的使用者使用他們的 IdP 憑證登入。

備註

Okta 整合僅支援服務提供者發起的登入。

前置需求

在 Okta 中,使用以下設定建立 SAML 應用程式。請參閱 Okta 文件以取得協助。

設定	值
`Single Sign on URL`	`https://yourRancherHostURL/v1-saml/okta/saml/acs`
`Audience URI (SP Entity ID)`	`https://yourRancherHostURL/v1-saml/okta/saml/metadata`

在 Rancher 中設定 Okta

您可以將 Okta 與 Rancher 整合,以便已驗證的使用者可以透過其群組權限存取 Rancher 資源。Okta 返回一個 SAML 斷言來驗證使用者,包括使用者所屬的群組。

在左上角,點擊 ☰ > Users & Authentication。
在左側導覽選單中,點擊 Auth Provider。
點擊 Okta。

完成 Configure Okta Account 表單。以下範例描述如何將 Okta 屬性從屬性聲明對應到 Rancher 中的欄位。

欄位	描述
Display Name Field	來自屬性聲明的屬性名稱,包含使用者的顯示名稱。
User Name Field	來自屬性聲明的屬性名稱,包含使用者名稱/給定名稱。
UID Field	來自屬性聲明的屬性名稱,對每個使用者唯一。
Groups Field	群組屬性聲明中公開您的群組的屬性名稱。
Rancher API Host	您的 Rancher Server 的 URL。
Private Key / Certificate	用於斷言加密的金鑰/憑證對。
Metadata XML	您在應用程式 `Sign On` 部分中找到的 `Identity Provider metadata` 檔案。

提示

您可以使用 openssl 命令生成金鑰/憑證對。例如:

openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout myservice.key -out myservice.crt

完成 Configure Okta Account 表單後,點擊 Enable。

Rancher 會將您重新導向至 IdP 登入頁面。輸入使用 Okta IdP 進行身份驗證的憑證以驗證您的 Rancher Okta 設定。

備註
如果似乎沒有任何反應,很可能是因為您的瀏覽器封鎖了彈出視窗。確保為您的 rancher 網域停用彈出視窗封鎖程式,並將其加入您可能使用的任何其他擴充功能的白名單。

結果: Rancher 已設定為與 Okta 配合使用。您的使用者現在可以使用他們的 Okta 登入資訊登入 Rancher。

SAML 提供者注意事項

如果您在沒有 OpenLDAP 的情況下設定 Okta,您將無法搜尋或直接查找使用者或群組。這帶來幾個注意事項:

在 Rancher 中為使用者和群組分配權限時,不會驗證它們。
新增使用者時,必須正確輸入確切的使用者 ID(即 UID Field)。當您輸入使用者 ID 時,不會搜尋其他可能匹配的使用者 ID。
新增群組時,您必須從文字方塊旁邊的下拉式選單中選擇群組。Rancher 假設來自文字方塊的任何輸入都是使用者。
群組下拉式選單僅顯示您所屬的群組。但是,如果您擁有管理員權限或受限管理員權限,您可以加入您不是成員的群組。

Okta 與 OpenLDAP 搜尋

您可以新增 OpenLDAP 後端以協助使用者和群組搜尋。Rancher 將顯示來自 OpenLDAP 服務的額外使用者和群組。這允許為已登入使用者尚未成為其成員的群組分配權限。

OpenLDAP 前置需求

如果您使用 Okta 作為 IdP,您可以為 Rancher 使用設定 LDAP 介面。您也可以設定外部 OpenLDAP 伺服器。

您必須使用 LDAP 綁定帳戶(也稱為服務帳戶)設定 Rancher,以便您可以搜尋和檢索應該有存取權限的使用者和群組的 LDAP 條目。不要使用管理員帳戶或個人帳戶作為 LDAP 綁定帳戶。在 OpenLDAP 中建立一個專用帳戶,對設定的搜尋基礎下的使用者和群組具有唯讀存取權限。

安全考量

OpenLDAP 服務帳戶用於所有搜尋。Rancher 使用者將看到 OpenLDAP 服務帳戶可以檢視的使用者和群組,無論他們的個人 SAML 權限如何。

使用 TLS?

如果 OpenLDAP 伺服器使用的憑證是自簽憑證或來自未識別的憑證授權單位,Rancher 需要 PEM 格式的 CA 憑證(與任何中繼憑證串接)。在設定期間提供此憑證,以便 Rancher 可以驗證憑證鏈。

在 Rancher 中設定 OpenLDAP

設定 OpenLDAP 伺服器、群組和使用者的設定。請注意,巢狀群組成員資格不可用。

在繼續設定之前,請先熟悉外部身份驗證設定和主要使用者。

使用被分配管理員角色的本地使用者登入 Rancher(即 本地主體)。
在左上角,點擊 ☰ > Users & Authentication。
在左側導覽選單中,點擊 Auth Provider。
點擊 Okta 或,如果 SAML 已設定,則點擊 Edit Config
在 User and Group Search 下,勾選 Configure an OpenLDAP server

如果您在測試與 OpenLDAP 伺服器的連線時遇到問題,請確保您為服務帳戶輸入了正確的憑證並正確設定了搜尋基礎。檢查 Rancher 日誌可以幫助找出根本原因。除錯日誌可能包含有關錯誤的更詳細資訊。請參閱如何啟用除錯日誌以取得更多資訊。

設定 SAML 單一登出 (SLO)

備註

此功能在 Rancher v2.7.7 及更高版本中可用。

單一登出（SLO）允許使用者在單一操作中登出所有應用程式。當您在 Rancher 中啟用 SAML SLO 時，使用者可以同時登出 Rancher 和他們的 SAML 身份提供者。

若要配置 SAML SLO：

在左上角，點選 ☰ > Users & Authentication。
在左側導覽選單中，點選 Auth Provider。
找到您的 SAML 提供者並點選 ⋮ > Edit Config。
在 Single Logout 下，勾選 Enabled 核取方塊。
在 Identity Provider Single Logout URL 欄位中，輸入您的身份提供者提供的單一登出 URL。
在 Rancher Single Logout URL 欄位中，輸入您的 Rancher 伺服器 URL，後面加上 /v1-saml/provider/saml/slo。例如：https://rancher.example.com/v1-saml/provider/saml/slo
點選 Save。

配置 SLO 後，您可能需要更新身份提供者的配置，以將 Rancher Single Logout URL 包含為有效的登出端點。

結果： 使用者現在可以透過點選他們的個人資料圖示並選擇 Log Out，同時登出 Rancher 和 SAML 身份提供者。

前置需求​

在 Rancher 中設定 Okta​

Okta 與 OpenLDAP 搜尋​

OpenLDAP 前置需求​

在 Rancher 中設定 OpenLDAP​

設定 SAML 單一登出 (SLO)​