Autenticación de Usuarios de Cluster mediante un Proveedor de Identidad de OpenID Connect Externo (OIDC)

Creación de un cluster y especificación de un único proveedor de identidad externo de OpenID Connect (OIDC)

Para utilizar la CLI para crear un cluster mejorado que utilice un único proveedor de identidad externo de OpenID Connect (OIDC), utilice el comando oci ce cluster create e incluya al menos los siguientes parámetros necesarios para la configuración de OIDC:

• --open-id-connect-auth-enabled definido en true
• --oidc-issuer-url definido en la URL pública base del proveedor de identidad que permite al servidor de API de Kubernetes detectar claves de firma públicas. Normalmente, se trata de la URL de detección de OIDC del proveedor de identidad, que se ha cambiado para tener una ruta de acceso vacía. Por ejemplo, si la URL de detección de OIDC del emisor es https://accounts.provider.example/.well-known/openid-configuration, especifique https://accounts.provider.example
• --oidc-client-id se define en un ID de cliente para el que se deben emitir todos los tokens. Por ejemplo, kubernetes

Por ejemplo:

oci ce cluster create \
--compartment-id ocid1.compartment.oc1..aaaaaaaa______n5q \
--name sales \
--vcn-id ocid1.vcn.oc1.phx.aaaaaaaa______lhq \
--type ENHANCED_CLUSTER \
--kubernetes-version v1.25.4 \
--service-lb-subnet-ids "[\"ocid1.subnet.oc1.phx.aaaaaaaa______g7q"]" \
--endpoint-subnet-id ocid1.subnet.oc1.phx.aaaaaaaa______sna \
--endpoint-public-ip-enabled true \
--endpoint-nsg-ids "[\"ocid1.networksecuritygroup.oc1.phx.aaaaaaaa______5qq\"]" \
--cluster-pod-network-options '[{"cniType":"OCI_VCN_IP_NATIVE"}]' \
--open-id-connect-auth-enabled true
--oidc-issuer-url https://accounts.provider.example
--oidc-client-id kubernetes

Además de las propiedades URL del emisor de OIDC y ID de cliente de OIDC del cluster, puede configurar otras propiedades para controlar la autenticación de OIDC. Para obtener una lista completa de las propiedades, consulte Configuración del servidor de API en la documentación de Kubernetes.

Actualización de un cluster y especificación de un único proveedor de identidad externo de OpenID Connect (OIDC)

Para utilizar la CLI para actualizar un cluster mejorado existente a fin de utilizar un único proveedor de identidad externo de OpenID Connect (OIDC):

1. Con su editor de JSON preferido, cree un nuevo archivo en formato JSON para actualizar la configuración del proveedor de identidad de OIDC externo del cluster e incluya al menos los siguientes parámetros necesarios para la configuración:

   {
       "options": {
           "openIdConnectTokenAuthenticationConfig": {
               "isOpenIdConnectAuthEnabled": true,
               "issuerUrl": "<idp-base-url>",
               "clientId": "<client-id>"
           }
       }
   }

   donde:
   • isOpenIdConnectAuthEnabled está definido en true
   • "issuerUrl": "<idp-base-url>" es la URL pública base del proveedor de identidad que permite al servidor de API de Kubernetes detectar claves de firma públicas. Normalmente, se trata de la URL de detección de OIDC del proveedor de identidad, que se ha cambiado para tener una ruta de acceso vacía. Por ejemplo, si la URL de detección de OIDC del emisor es https://accounts.provider.example/.well-known/openid-configuration, especifique https://accounts.provider.example
   • "clientId": "<client-id>" es el ID de cliente para el que se deben emitir todos los tokens. Por ejemplo, kubernetes

   Por ejemplo:

   {
       "options": {
           "openIdConnectTokenAuthenticationConfig": {
               "isOpenIdConnectAuthEnabled": true,
               "issuerUrl": "https://accounts.provider.example",
               "clientId": "kubernetes"
           }
       }
   }

   Además de las propiedades URL del emisor de OIDC y ID de cliente de OIDC del cluster, puede configurar otras propiedades para controlar la autenticación de OIDC. Por ejemplo:

   {
       "options": {
           "openIdConnectTokenAuthenticationConfig": {
               "clientId": "kubernetes",
               "usernameClaim": "sub",
               "issuerUrl": "https://token.actions.githubusercontent.com",
               "isOpenIdConnectAuthEnabled": true,
               "usernamePrefix": "actions-oidc:",
               "requiredClaim": [
                   "repository=GH_ACCOUNT/REPO",
                   "ref=refs/heads/main"
               ]
           }
       }
   }

   Para obtener una lista completa de las propiedades, consulte Configuración del servidor de API en la documentación de Kubernetes.

2. Guarde el archivo JSON que contiene la configuración del proveedor de identidad OpenID Connect (OIDC) externo, con un nombre y en una ubicación de su elección. Por ejemplo, como /users/jdoe/update-oidc-config
3. Utilice el comando oci ce cluster update para actualizar el cluster existente:

   oci ce cluster update --cluster-id <cluster-ocid> --from-json file://<path-to-file>

   Por ejemplo:

   oci ce cluster update --cluster-id ocid1.cluster.oc1.iad.aaaaaaaaaf______jrd --from-json file:///users/jdoe/update-oidc-config

Creación de un cluster y especificación de varios proveedores de identidad externos de OpenID Connect (OIDC)

Para utilizar la CLI para crear un cluster mejorado que utilice varios proveedores de identidad externos de OpenID Connect (OIDC) (disponible para clusters que ejecutan la versión 1.30 de Kubernetes y posteriores):

1. Cree un nuevo archivo de configuración de autenticación de Kubernetes como archivo .yaml para contener detalles de los proveedores de identidad. Para obtener más información sobre los archivos de configuración de autenticación, consulte Configuración de autenticación desde un archivo en la documentación de Kubernetes.
2. Para cada proveedor de identidad:
   1. Defina el campo jwt.issuer.url en la URL pública base del proveedor de identidad que permite al servidor de API de Kubernetes detectar claves de firma públicas. Normalmente, se trata de la URL de detección de OIDC del proveedor de identidad, que se ha cambiado para tener una ruta de acceso vacía. Por ejemplo, si la URL de detección de OIDC del emisor es https://accounts.provider.example/.well-known/openid-configuration, especifique https://accounts.provider.example
   2. También puede definir otros campos para controlar la autenticación de OIDC. Tenga en cuenta que al utilizar un archivo de configuración de autenticación, se debe especificar cualquier configuración de OIDC en este archivo. Para obtener más información sobre los campos de un archivo de configuración de autenticación, consulte Configuración de autenticación desde un archivo en la documentación de Kubernetes.

   Por ejemplo:

   apiVersion: apiserver.config.k8s.io/v1beta1
   kind: AuthenticationConfiguration
   jwt:
     - issuer:
         url: https://accounts.google.com
         audiences:
           - 838763820337-6vt12pbavkteafx08f32z48u7gpll6on.apps.googleusercontent.com
           - 838763820337-elyce7g28ep5b7uzq4dt1uzh1h86jki9.apps.googleusercontent.com
         audienceMatchPolicy: MatchAny
       claimMappings:
         username:
           claim: "sub"
           prefix: ""
         groups:
           claim: "groups"
           prefix: ""
         uid:
           claim: "sub"
     - issuer:
         url: https://dev-dx7mdewuu7xhb4mw.us.auth0.com/
         audiences:
           - 7w7qJsa3brl5OHV6uljAAYhfknVTsVAw
         audienceMatchPolicy: MatchAny
       claimMappings:
         username:
           claim: "sub"
           prefix: ""
         groups:
           claim: "groups"
           prefix: ""
         uid:
           claim: "sub"

3. Convierta el archivo .yaml de configuración de autenticación en una cadena codificada Base64.

4. Utilice el comando oci ce cluster create e incluya los siguientes parámetros:

   • --open-id-connect-auth-enabled definido en true
   • --oidc-configuration-file definido en la cadena codificada Base64 que ha creado a partir del archivo de configuración de autenticación.

   Por ejemplo:

   oci ce cluster create \
   --compartment-id ocid1.compartment.oc1..aaaaaaaa______n5q \
   --name sales \
   --vcn-id ocid1.vcn.oc1.phx.aaaaaaaa______lhq \
   --type ENHANCED_CLUSTER \
   --kubernetes-version v1.30.1 \
   --service-lb-subnet-ids "[\"ocid1.subnet.oc1.phx.aaaaaaaa______g7q"]" \
   --endpoint-subnet-id ocid1.subnet.oc1.phx.aaaaaaaa______sna \
   --endpoint-public-ip-enabled true \
   --endpoint-nsg-ids "[\"ocid1.networksecuritygroup.oc1.phx.aaaaaaaa______5qq\"]" \
   --cluster-pod-network-options '[{"cniType":"OCI_VCN_IP_NATIVE"}]' \
   --open-id-connect-auth-enabled true
   --oidc-configuration-file <base64-encoded-config-file>

   Tenga en cuenta que, después de definir el parámetro --oidc-configuration-file, no utilice otros parámetros del comando oci ce cluster create para configurar la autenticación de OIDC. Utilice solo campos en el archivo de configuración de autenticación para controlar la autenticación de OIDC.

Creación de un cluster y especificación de un único proveedor de identidad externo de OpenID Connect (OIDC)

Para utilizar la API para crear un cluster que utilice un único proveedor de identidad externo de OpenID Connect (OIDC), utilice la operación CreateCluster para crear un cluster y especifique valores para los atributos de la propiedad openIdConnectTokenAuthenticationConfig, incluidos al menos los siguientes atributos necesarios:

• isOpenIdConnectAuthEnabled definido en true
• issuerUrl definido en la URL pública base del proveedor de identidad que permite al servidor de API de Kubernetes detectar claves de firma públicas. Normalmente, se trata de la URL de detección de OIDC del proveedor de identidad, que se ha cambiado para tener una ruta de acceso vacía. Por ejemplo, si la URL de detección de OIDC del emisor es https://accounts.provider.example/.well-known/openid-configuration, especifique https://accounts.provider.example
• clientId se define en un ID de cliente para el que se deben emitir todos los tokens. Por ejemplo, kubernetes

Además de los atributos issuerURL y clientId, puede definir otros atributos openIdConnectTokenAuthenticationConfig para controlar la autenticación de OIDC. Para obtener una lista completa de atributos, consulte openIdConnectTokenAuthenticationConfig Reference

Creación de un cluster y especificación de varios proveedores de identidad externos de OpenID Connect (OIDC)

Para utilizar la API para crear un cluster que utilice varios proveedores de identidad de OIDC externos (disponible para clusters que ejecutan la versión 1.30 de Kubernetes y posteriores):

1. Cree un nuevo archivo de configuración de autenticación de Kubernetes como archivo .yaml para contener detalles de los proveedores de identidad. Para obtener más información sobre los archivos de configuración de autenticación, consulte Configuración de autenticación desde un archivo en la documentación de Kubernetes.
2. Para cada proveedor de identidad:
   1. Defina el campo jwt.issuer.url en la URL pública base del proveedor de identidad que permite al servidor de API de Kubernetes detectar claves de firma públicas. Normalmente, se trata de la URL de detección de OIDC del proveedor de identidad, que se ha cambiado para tener una ruta de acceso vacía. Por ejemplo, si la URL de detección de OIDC del emisor es https://accounts.provider.example/.well-known/openid-configuration, especifique https://accounts.provider.example
   2. También puede definir otros campos para controlar la autenticación de OIDC. Tenga en cuenta que al utilizar un archivo de configuración de autenticación, se debe especificar cualquier configuración de OIDC en este archivo. Para obtener más información sobre los campos de un archivo de configuración de autenticación, consulte Configuración de autenticación desde un archivo en la documentación de Kubernetes.

   Por ejemplo:

   apiVersion: apiserver.config.k8s.io/v1beta1
   kind: AuthenticationConfiguration
   jwt:
     - issuer:
         url: https://accounts.google.com
         audiences:
           - 838763820337-6vt12pbavkteafx08f32z48u7gpll6on.apps.googleusercontent.com
           - 838763820337-elyce7g28ep5b7uzq4dt1uzh1h86jki9.apps.googleusercontent.com
         audienceMatchPolicy: MatchAny
       claimMappings:
         username:
           claim: "sub"
           prefix: ""
         groups:
           claim: "groups"
           prefix: ""
         uid:
           claim: "sub"
     - issuer:
         url: https://dev-dx7mdewuu7xhb4mw.us.auth0.com/
         audiences:
           - 7w7qJsa3brl5OHV6uljAAYhfknVTsVAw
         audienceMatchPolicy: MatchAny
       claimMappings:
         username:
           claim: "sub"
           prefix: ""
         groups:
           claim: "groups"
           prefix: ""
         uid:
           claim: "sub"

3. Convierta el archivo .yaml de configuración de autenticación en una cadena codificada Base64.

4. Utilice la operación CreateCluster para crear el cluster y especifique valores para los siguientes atributos de la propiedad openIdConnectTokenAuthenticationConfig:

   • isOpenIdConnectAuthEnabled definido en true
   • configurationFile definido en la cadena codificada Base64 que ha creado a partir del archivo de configuración de autenticación.

   Tenga en cuenta que, al definir el atributo configurationFile, no defina otros atributos de la propiedad openIdConnectTokenAuthenticationConfig para configurar la autenticación de OIDC. Utilice solo campos en el archivo de configuración de autenticación para controlar la autenticación de OIDC.