設定 PingIdentity (SAML)

如果您的組織使用 Ping Identity Provider (IdP) 進行使用者身份驗證,您可以設定 Rancher 以允許您的使用者使用他們的 IdP 憑證登入。

前置需求:

您必須設定好 Ping IdP Server。

以下是設定所需的 Rancher 服務提供者 URL: 元資料 URL: https://<rancher-server>/v1-saml/ping/saml/metadata 斷言消費者服務 (ACS) URL: https://<rancher-server>/v1-saml/ping/saml/acs 請注意,在 Rancher 中儲存身份驗證設定之前,這些 URL 不會返回有效資料。

從您的 IdP 伺服器匯出 metadata.xml 檔案。如需更多資訊,請參閱 PingIdentity 文件。

在左上角,點擊 ☰ > Users & Authentication。
在左側導覽選單中,點擊 Auth Provider。
點擊 Ping Identity。
完成 Configure a Ping Account 表單。Ping IdP 讓您指定要使用的資料存放區。您可以新增資料庫或使用現有的 ldap 伺服器。例如,如果您選擇您的 Active Directory (AD) 伺服器,以下範例描述如何將 AD 屬性對應到 Rancher 中的欄位。
1. Display Name Field: 輸入包含使用者顯示名稱的 AD 屬性(範例:displayName)。
2. User Name Field: 輸入包含使用者名稱/給定名稱的 AD 屬性(範例:givenName)。
3. UID Field: 輸入對每個使用者唯一的 AD 屬性(範例:sAMAccountName、distinguishedName)。
4. Groups Field: 輸入用於管理群組成員資格的條目(範例:memberOf)。
5. Entity ID Field(選用): 您的合作夥伴已發佈的、依賴協定的唯一識別碼。此 ID 將您的組織定義為在 SAML 2.0 交易中操作伺服器的實體。此 ID 可能已透過頻外方式或透過 SAML 元資料檔案取得。
6. Rancher API Host: 輸入您的 Rancher Server 的 URL。
7. Private Key 和 Certificate: 這是用於在 Rancher 和您的 IdP 之間建立安全 shell 的金鑰-憑證對。
  
  您可以使用 openssl 命令生成一個。例如:
```
openssl req -x509 -newkey rsa:2048 -keyout myservice.key -out myservice.cert -days 365 -nodes -subj "/CN=myservice.example.com"
```
8. IDP-metadata: 您從 IdP 伺服器匯出的 metadata.xml 檔案。
完成 Configure Ping Account 表單後,點擊 Enable。

Rancher 會將您重新導向至 IdP 登入頁面。輸入使用 Ping IdP 進行身份驗證的憑證以驗證您的 Rancher PingIdentity 設定。

備註
您可能需要停用彈出視窗封鎖程式才能看到 IdP 登入頁面。

結果: Rancher 已設定為與 PingIdentity 配合使用。您的使用者現在可以使用他們的 PingIdentity 登入資訊登入 Rancher。

SAML 提供者注意事項

在 Rancher 中為使用者和群組分配權限時,不會驗證它們。
新增使用者時,必須正確輸入確切的使用者 ID(即 UID Field)。當您輸入使用者 ID 時,不會搜尋其他可能匹配的使用者 ID。
新增群組時,您必須從文字方塊旁邊的下拉式選單中選擇群組。Rancher 假設來自文字方塊的任何輸入都是使用者。
群組下拉式選單僅顯示您所屬的群組。但是,如果您擁有管理員權限或受限管理員權限,您可以加入您不是成員的群組。

設定 SAML 單一登出 (SLO)

備註

此功能在 Rancher v2.7.7 及更高版本中可用。

單一登出（SLO）允許使用者在單一操作中登出所有應用程式。當您在 Rancher 中啟用 SAML SLO 時，使用者可以同時登出 Rancher 和他們的 SAML 身份提供者。

若要配置 SAML SLO：

在左上角，點選 ☰ > Users & Authentication。
在左側導覽選單中，點選 Auth Provider。
找到您的 SAML 提供者並點選 ⋮ > Edit Config。
在 Single Logout 下，勾選 Enabled 核取方塊。
在 Identity Provider Single Logout URL 欄位中，輸入您的身份提供者提供的單一登出 URL。
在 Rancher Single Logout URL 欄位中，輸入您的 Rancher 伺服器 URL，後面加上 /v1-saml/provider/saml/slo。例如：https://rancher.example.com/v1-saml/provider/saml/slo
點選 Save。

配置 SLO 後，您可能需要更新身份提供者的配置，以將 Rancher Single Logout URL 包含為有效的登出端點。

結果： 使用者現在可以透過點選他們的個人資料圖示並選擇 Log Out，同時登出 Rancher 和 SAML 身份提供者。

設定 SAML 單一登出 (SLO)​

設定 SAML 單一登出 (SLO)