Использование OpenID Connect с Cozystack on Cozystack

Включение OIDC Server

Mon, 01 Jan 0001 00:00:00 +0000

Предварительные требования

Конфигурация OIDC API server должен быть настроен на использование OIDC. Если используется Talos Linux, machine configuration должна включать следующие параметры:
```
cluster:
 apiServer:
 extraArgs:
 oidc-issuer-url: "https://keycloak.example.org/realms/cozy"
 oidc-client-id: "kubernetes"
 oidc-username-claim: "preferred_username"
 oidc-groups-claim: "groups"
```
Для Talm Добавьте в values.yaml в репозитории talm:
```
oidcIssuerUrl: "https://keycloak.<YOUR_ROOT_DOMAIN>/realms/cozy"
```
Доступность домена Убедитесь, что домен keycloak.example.org доступен из кластера и резолвится в root ingress controller.
Конфигурация storage Storage должен быть корректно настроен.

Создание пользователей и назначение ролей

Mon, 01 Jan 0001 00:00:00 +0000

Создание пользователей и назначение им ролей.

Обзор

При создании tenant в Cozy (начиная с версии 1.6.0) roles, RoleBindings и группы Keycloak автоматически создаются в Kubernetes cluster.

Создание пользователя описано в документации: Keycloak Admin Console Documentation

Назначение роли пользователю для tenant

Откройте Keycloak: Чтобы получить login credentials, проверьте secret следующей командой:
```
kubectl get secret keycloak-credentials -n cozy-keycloak -o yaml
```
Адрес Keycloak: Адрес Keycloak будет соответствовать значению publishing.host, указанному в Platform Package. Например, если Package содержит:

Self-Signed Certificates

Mon, 01 Jan 0001 00:00:00 +0000

В этом руководстве описано, как настроить Kubernetes API server для OIDC authentication с Keycloak при использовании self-signed certificates. По умолчанию Cozystack выпускает certificates через LetsEncrypt, но в некоторых окружениях, например air-gapped или private enterprise networks, может использоваться custom CA.

Предварительные требования

Cozystack cluster с включенным OIDC (см. Enable OIDC Server)
Control plane nodes на Talos Linux
talosctl, настроенный для вашего кластера
Установленный kubelogin

Шаг 1: получите сертификат Keycloak

Получите certificate из ingress controller: