跳至主要内容

2. 為 Microsoft AD FS 設定 Rancher

在您完成為 Rancher 設定 Microsoft AD FS 後，將您的 Active Directory Federation Service (AD FS) 資訊輸入 Rancher，以便 AD FS 使用者可以使用 Rancher 進行身份驗證。

設定 ADFS 伺服器的重要注意事項：
  • SAML 2.0 WebSSO Protocol Service URL 是：https://<RANCHER_SERVER>/v1-saml/adfs/saml/acs
  • Relying Party Trust identifier URL 是：https://<RANCHER_SERVER>/v1-saml/adfs/saml/metadata
  • 您必須從 AD FS 伺服器匯出 federationmetadata.xml 檔案。這可以在以下位置找到：https://<AD_SERVER>/federationmetadata/2007-06/federationmetadata.xml

  1. 在左上角，點擊 ☰ > Users & Authentication。

  2. 在左側導覽選單中，點擊 Auth Provider。

  3. 點擊 ADFS。

  4. 完成 Configure AD FS Account 表單。Microsoft AD FS 讓您可以指定現有的 Active Directory (AD) 伺服器。下面的設定部分描述如何將 AD 屬性映射到 Rancher 中的欄位。

  5. 完成 Configure AD FS Account 表單後，點擊 Enable。

    Rancher 會將您重新導向到 AD FS 登入頁面。輸入使用 Microsoft AD FS 進行身份驗證的憑證，以驗證您的 Rancher AD FS 設定。

    備註

    您可能需要停用彈出視窗攔截器才能看到 AD FS 登入頁面。

**結果：**Rancher 已設定為與 MS FS 配合使用。您的使用者現在可以使用其 MS FS 登入來登入 Rancher。

設定​

欄位描述
Display Name Field包含使用者顯示名稱的 AD 屬性。

範例：http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name
User Name Field包含使用者名稱/給定名稱的 AD 屬性。

範例：http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
UID Field每個使用者唯一的 AD 屬性。

範例：http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn
Groups Field用於管理群組成員資格的條目。

範例：http://schemas.xmlsoap.org/claims/Group
Rancher API Host您的 Rancher Server 的 URL。
Private Key / Certificate這是用於在 Rancher 和 AD FS 之間建立安全 Shell 的金鑰憑證對。確保將 Common Name (CN) 設定為您的 Rancher Server URL。

憑證建立命令
Metadata XML從 AD FS 伺服器匯出的 federationmetadata.xml 檔案。

您可以在以下位置找到此檔案：https://<AD_SERVER>/federationmetadata/2007-06/federationmetadata.xml。

憑證建立命令範例​

您可以使用 openssl 命令生成憑證。例如：

openssl req -x509 -newkey rsa:2048 -keyout myservice.key -out myservice.cert -days 365 -nodes -subj "/CN=myservice.example.com"

設定 SAML 單一登出 (SLO)​

備註

此功能在 Rancher v2.7.7 及更高版本中可用。

單一登出（SLO）允許使用者在單一操作中登出所有應用程式。當您在 Rancher 中啟用 SAML SLO 時，使用者可以同時登出 Rancher 和他們的 SAML 身份提供者。

若要配置 SAML SLO：

  1. 在左上角，點選 ☰ > Users & Authentication。
  2. 在左側導覽選單中，點選 Auth Provider。
  3. 找到您的 SAML 提供者並點選 ⋮ > Edit Config。
  4. 在 Single Logout 下，勾選 Enabled 核取方塊。
  5. 在 Identity Provider Single Logout URL 欄位中，輸入您的身份提供者提供的單一登出 URL。
  6. 在 Rancher Single Logout URL 欄位中，輸入您的 Rancher 伺服器 URL，後面加上 /v1-saml/provider/saml/slo。例如：https://rancher.example.com/v1-saml/provider/saml/slo
  7. 點選 Save。

配置 SLO 後，您可能需要更新身份提供者的配置，以將 Rancher Single Logout URL 包含為有效的登出端點。

結果： 使用者現在可以透過點選他們的個人資料圖示並選擇 Log Out，同時登出 Rancher 和 SAML 身份提供者。