KeycloakとSSO

Verrazzanoは、様々なホスト型およびオンプレミスのKubernetes環境にデプロイできます。ホストされた環境では特に、Kubernetes APIサーバー用に構成された認証プロバイダを選択できない場合があり、Verrazzanoでユーザーを表示、管理または認証できない可能性があります。

VerrazzanoはKeycloakをインストールして、すべてのKubernetes環境に共通のユーザー・ストアを提供します。Verrazzano管理者ユーザーは、Keycloakでユーザー・アカウントを作成および管理でき、VerrazzanoはKeycloakユーザーを認証および認可できます。

また、Active DirectoryやLDAPサーバーなどの外部ユーザー・ストアに認証を委任するようにKeycloakを構成できます。

KeycloakはKubernetes APIの認証プロバイダとして構成されていないため、Kubernetes APIリクエストを作成する場合、Kubernetesに対するKeycloakユーザーの認証には、Keycloakユーザーを偽装するプロキシを使用する必要があります。Verrazzano認証プロキシの詳細は、Verrazzanoプロキシを参照してください。

Keycloakは、Verrazzanoコンソールおよび様々なVerrazzano Monitoring Instance (VMI)ロギングおよびメトリック・コンソールへの認証にも使用されます。Verrazzanoコンソールでは、OpenID Connect (OIDC) PKCEフローを使用してKeycloakに対してユーザーを認証し、IDおよびアクセス・トークンを取得します。VMIコンソールの認証は、Verrazzano認証プロキシによって提供されます。このプロキシも、PKCEを使用してユーザーの認証、結果のトークンの検証、受信リクエストの認可を行います。Verrazzano認証プロキシの詳細は、Verrazzanoプロキシを参照してください。