Autenticando Usuários do Cluster com um Provedor de Identidades do OIDC (OpenID Connect) Externo

Criando um Cluster e Especificando um Único Provedor de Identidades Externo do OpenID Connect (OIDC)

Para usar a CLI para criar um cluster aprimorado que use um único provedor de identidades externo do OpenID Connect (OIDC), use o comando oci ce cluster create e inclua pelo menos os seguintes parâmetros necessários para a configuração do OIDC:

• --open-id-connect-auth-enabled definido como true
• --oidc-issuer-url definido como o URL público base do provedor de identidades que permite que o servidor de API do Kubernetes descubra chaves de assinatura públicas. Geralmente, esse é o URL de descoberta do OIDC do provedor de identidades, alterado para ter um caminho vazio. Por exemplo, se o URL de descoberta do OIDC do emissor for https://accounts.provider.example/.well-known/openid-configuration, especifique https://accounts.provider.example
• --oidc-client-id definido como um ID de cliente para o qual todos os tokens devem ser emitidos. Por exemplo, kubernetes

Por exemplo:

oci ce cluster create \
--compartment-id ocid1.compartment.oc1..aaaaaaaa______n5q \
--name sales \
--vcn-id ocid1.vcn.oc1.phx.aaaaaaaa______lhq \
--type ENHANCED_CLUSTER \
--kubernetes-version v1.25.4 \
--service-lb-subnet-ids "[\"ocid1.subnet.oc1.phx.aaaaaaaa______g7q"]" \
--endpoint-subnet-id ocid1.subnet.oc1.phx.aaaaaaaa______sna \
--endpoint-public-ip-enabled true \
--endpoint-nsg-ids "[\"ocid1.networksecuritygroup.oc1.phx.aaaaaaaa______5qq\"]" \
--cluster-pod-network-options '[{"cniType":"OCI_VCN_IP_NATIVE"}]' \
--open-id-connect-auth-enabled true
--oidc-issuer-url https://accounts.provider.example
--oidc-client-id kubernetes

Além das propriedades URL do emissor OIDC e ID do cliente OIDC do cluster, você pode definir outras propriedades para controlar a autenticação do OIDC. Para obter uma lista completa de propriedades, consulte Configurando o Servidor de API na documentação do Kubernetes.

Atualizando um Cluster e Especificando um Único Provedor de Identidades Externo do OpenID Connect (OIDC)

Para usar a CLI para atualizar um cluster aprimorado existente para usar um único provedor de identidades externo do OpenID Connect (OIDC):

1. Usando seu editor JSON preferencial, crie um novo arquivo no formato JSON para atualizar a configuração do provedor de identidades OIDC externo do cluster e inclua pelo menos os seguintes parâmetros necessários para a configuração:

   {
       "options": {
           "openIdConnectTokenAuthenticationConfig": {
               "isOpenIdConnectAuthEnabled": true,
               "issuerUrl": "<idp-base-url>",
               "clientId": "<client-id>"
           }
       }
   }

   em que:
   • isOpenIdConnectAuthEnabled é definido como true
   • "issuerUrl": "<idp-base-url>" é o URL público base do provedor de identidades que permite que o servidor de API do Kubernetes descubra chaves de assinatura públicas. Geralmente, esse é o URL de descoberta do OIDC do provedor de identidades, alterado para ter um caminho vazio. Por exemplo, se o URL de descoberta do OIDC do emissor for https://accounts.provider.example/.well-known/openid-configuration, especifique https://accounts.provider.example
   • "clientId": "<client-id>" é o ID do cliente para o qual todos os tokens devem ser emitidos. Por exemplo, kubernetes

   Por exemplo:

   {
       "options": {
           "openIdConnectTokenAuthenticationConfig": {
               "isOpenIdConnectAuthEnabled": true,
               "issuerUrl": "https://accounts.provider.example",
               "clientId": "kubernetes"
           }
       }
   }

   Além das propriedades URL do emissor OIDC e ID do cliente OIDC do cluster, você pode definir outras propriedades para controlar a autenticação do OIDC. Por exemplo:

   {
       "options": {
           "openIdConnectTokenAuthenticationConfig": {
               "clientId": "kubernetes",
               "usernameClaim": "sub",
               "issuerUrl": "https://token.actions.githubusercontent.com",
               "isOpenIdConnectAuthEnabled": true,
               "usernamePrefix": "actions-oidc:",
               "requiredClaim": [
                   "repository=GH_ACCOUNT/REPO",
                   "ref=refs/heads/main"
               ]
           }
       }
   }

   Para obter uma lista completa de propriedades, consulte Configurando o Servidor de API na documentação do Kubernetes.

2. Salve o arquivo JSON que contém a configuração externa do provedor de identidades do OpenID Connect (OIDC), com um nome e em um local de sua escolha. Por exemplo, como /users/jdoe/update-oidc-config
3. Use o comando oci ce cluster update para atualizar o cluster existente:

   oci ce cluster update --cluster-id <cluster-ocid> --from-json file://<path-to-file>

   Por exemplo:

   oci ce cluster update --cluster-id ocid1.cluster.oc1.iad.aaaaaaaaaf______jrd --from-json file:///users/jdoe/update-oidc-config

Criando um Cluster e Especificando Vários Provedores de Identidade Externos do OpenID Connect (OIDC)

Para usar a CLI para criar um cluster aprimorado que use vários provedores de identidade externos do OpenID Connect (OIDC) (disponíveis para clusters que executam o Kubernetes versão 1.30 e posterior):

1. Crie um novo arquivo de configuração de autenticação do Kubernetes como arquivo .yaml, para conter detalhes dos provedores de identidade. Para obter mais informações sobre arquivos de configuração de autenticação, consulte Configuração de autenticação de um arquivo na documentação do Kubernetes.
2. Para cada provedor de identidades:
   1. Defina o campo jwt.issuer.url como o URL público base do provedor de identidades que permite que o servidor de API do Kubernetes descubra chaves de assinatura públicas. Geralmente, esse é o URL de descoberta do OIDC do provedor de identidades, alterado para ter um caminho vazio. Por exemplo, se o URL de descoberta do OIDC do emissor for https://accounts.provider.example/.well-known/openid-configuration, especifique https://accounts.provider.example
   2. Opcionalmente, defina outros campos para controlar a autenticação do OIDC. Observe que, ao usar um arquivo de configuração de autenticação, qualquer configuração OIDC deve ser especificada nesse arquivo. Para obter mais informações sobre os campos em um arquivo de configuração de autenticação, consulte Configuração de autenticação de um arquivo na documentação do Kubernetes.

   Por exemplo:

   apiVersion: apiserver.config.k8s.io/v1beta1
   kind: AuthenticationConfiguration
   jwt:
     - issuer:
         url: https://accounts.google.com
         audiences:
           - 838763820337-6vt12pbavkteafx08f32z48u7gpll6on.apps.googleusercontent.com
           - 838763820337-elyce7g28ep5b7uzq4dt1uzh1h86jki9.apps.googleusercontent.com
         audienceMatchPolicy: MatchAny
       claimMappings:
         username:
           claim: "sub"
           prefix: ""
         groups:
           claim: "groups"
           prefix: ""
         uid:
           claim: "sub"
     - issuer:
         url: https://dev-dx7mdewuu7xhb4mw.us.auth0.com/
         audiences:
           - 7w7qJsa3brl5OHV6uljAAYhfknVTsVAw
         audienceMatchPolicy: MatchAny
       claimMappings:
         username:
           claim: "sub"
           prefix: ""
         groups:
           claim: "groups"
           prefix: ""
         uid:
           claim: "sub"

3. Converta o arquivo .yaml de configuração de autenticação em uma string codificada em Base64.

4. Use o comando oci ce cluster create e inclua os seguintes parâmetros:

   • --open-id-connect-auth-enabled definido como true
   • --oidc-configuration-file definido como a string codificada Base64 que você criou com base no arquivo de configuração de autenticação.

   Por exemplo:

   oci ce cluster create \
   --compartment-id ocid1.compartment.oc1..aaaaaaaa______n5q \
   --name sales \
   --vcn-id ocid1.vcn.oc1.phx.aaaaaaaa______lhq \
   --type ENHANCED_CLUSTER \
   --kubernetes-version v1.30.1 \
   --service-lb-subnet-ids "[\"ocid1.subnet.oc1.phx.aaaaaaaa______g7q"]" \
   --endpoint-subnet-id ocid1.subnet.oc1.phx.aaaaaaaa______sna \
   --endpoint-public-ip-enabled true \
   --endpoint-nsg-ids "[\"ocid1.networksecuritygroup.oc1.phx.aaaaaaaa______5qq\"]" \
   --cluster-pod-network-options '[{"cniType":"OCI_VCN_IP_NATIVE"}]' \
   --open-id-connect-auth-enabled true
   --oidc-configuration-file <base64-encoded-config-file>

   Observe que, depois de definir o parâmetro --oidc-configuration-file, não use outros parâmetros do comando oci ce cluster create para configurar a autenticação do OIDC. Só use campos no arquivo de configuração de autenticação para controlar a autenticação do OIDC.

Criando um Cluster e Especificando um Único Provedor de Identidades Externo do OpenID Connect (OIDC)

Para usar a API para criar um cluster que use um único provedor de identidades externo do OpenID Connect (OIDC), use a operação CreateCluster para criar um cluster e especifique valores para os atributos da propriedade openIdConnectTokenAuthenticationConfig, incluindo pelo menos os seguintes atributos obrigatórios:

• isOpenIdConnectAuthEnabled definido como true
• issuerUrl definido como o URL público base do provedor de identidades que permite que o servidor de API do Kubernetes descubra chaves de assinatura públicas. Geralmente, esse é o URL de descoberta do OIDC do provedor de identidades, alterado para ter um caminho vazio. Por exemplo, se o URL de descoberta do OIDC do emissor for https://accounts.provider.example/.well-known/openid-configuration, especifique https://accounts.provider.example
• clientId definido como um ID de cliente para o qual todos os tokens devem ser emitidos. Por exemplo, kubernetes

Além dos atributos issuerURL e clientId, você pode, opcionalmente, definir outros atributos openIdConnectTokenAuthenticationConfig para controlar a autenticação do OIDC. Para obter uma lista completa de atributos, consulte openIdConnectTokenAuthenticationConfig Reference

Criando um Cluster e Especificando Vários Provedores de Identidade Externos do OpenID Connect (OIDC)

Para usar a API para criar um cluster que use vários provedores de identidade OIDC externos (disponíveis para clusters que executam o Kubernetes versão 1.30 e posterior):

1. Crie um novo arquivo de configuração de autenticação do Kubernetes como arquivo .yaml, para conter detalhes dos provedores de identidade. Para obter mais informações sobre arquivos de configuração de autenticação, consulte Configuração de autenticação de um arquivo na documentação do Kubernetes.
2. Para cada provedor de identidades:
   1. Defina o campo jwt.issuer.url como o URL público base do provedor de identidades que permite que o servidor de API do Kubernetes descubra chaves de assinatura públicas. Geralmente, esse é o URL de descoberta do OIDC do provedor de identidades, alterado para ter um caminho vazio. Por exemplo, se o URL de descoberta do OIDC do emissor for https://accounts.provider.example/.well-known/openid-configuration, especifique https://accounts.provider.example
   2. Opcionalmente, defina outros campos para controlar a autenticação do OIDC. Observe que, ao usar um arquivo de configuração de autenticação, qualquer configuração OIDC deve ser especificada nesse arquivo. Para obter mais informações sobre os campos em um arquivo de configuração de autenticação, consulte Configuração de autenticação de um arquivo na documentação do Kubernetes.

   Por exemplo:

   apiVersion: apiserver.config.k8s.io/v1beta1
   kind: AuthenticationConfiguration
   jwt:
     - issuer:
         url: https://accounts.google.com
         audiences:
           - 838763820337-6vt12pbavkteafx08f32z48u7gpll6on.apps.googleusercontent.com
           - 838763820337-elyce7g28ep5b7uzq4dt1uzh1h86jki9.apps.googleusercontent.com
         audienceMatchPolicy: MatchAny
       claimMappings:
         username:
           claim: "sub"
           prefix: ""
         groups:
           claim: "groups"
           prefix: ""
         uid:
           claim: "sub"
     - issuer:
         url: https://dev-dx7mdewuu7xhb4mw.us.auth0.com/
         audiences:
           - 7w7qJsa3brl5OHV6uljAAYhfknVTsVAw
         audienceMatchPolicy: MatchAny
       claimMappings:
         username:
           claim: "sub"
           prefix: ""
         groups:
           claim: "groups"
           prefix: ""
         uid:
           claim: "sub"

3. Converta o arquivo .yaml de configuração de autenticação em uma string codificada em Base64.

4. Use a operação CreateCluster para criar o cluster e especifique valores para os seguintes atributos da propriedade openIdConnectTokenAuthenticationConfig:

   • isOpenIdConnectAuthEnabled definido como true
   • configurationFile definido como a string codificada Base64 que você criou com base no arquivo de configuração de autenticação.

   Observe que, depois de definir o atributo configurationFile, não defina outros atributos da propriedade openIdConnectTokenAuthenticationConfig para configurar a autenticação do OIDC. Só use campos no arquivo de configuração de autenticação para controlar a autenticação do OIDC.