OIDC 認証済みグループマッピング

1. OIDCプラグインの設定ファイルを作成し、 admin_gui_auth_confのように保存します。

   中括弧 ( {} ) で示されるすべてのフィールドに独自の値を入力します。

   {                                      
       "issuer": "{YOUR_IDP_URL}",        
       "admin_claim": "email",
       "client_id": ["{CLIENT_ID}"],                 
       "client_secret": ["{CLIENT_SECRET}"],
       "authenticated_groups_claim": ["{CLAIM_NAME}"],
       "ssl_verify": false,
       "leeway": 60,
       "redirect_uri": ["{YOUR_REDIRECT_URI}"],
       "login_redirect_uri": ["{YOUR_LOGIN_REDIRECT_URI}"],
       "logout_methods": ["GET", "DELETE"],
       "logout_query_arg": "logout",
       "logout_redirect_uri": ["{YOUR_LOGOUT_REDIRECT_URI}"],
       "scopes": ["openid","profile","email","offline_access"],
       "auth_methods": ["authorization_code"],
       "admin_auto_create_rbac_token_disabled": false,
       "admin_auto_create": true
   }
   

   すべての OIDC パラメータの詳細説明については、OpenID Connect パラメータに関する参考資料を参照してください。

2. 作成したばかりのファイルからシークレットを作成します。

   kubectl create secret generic kong-idp-conf --from-file=admin_gui_auth_conf -n kong
   

3. 次のパラメータを使用して、デプロイメントの values.yml ファイルの RBAC セクションを更新します。

   rbac:
     enabled: true
     admin_gui_auth: openid-connect
     session_conf_secret: kong-session-conf   
     admin_gui_auth_conf_secret: kong-idp-conf
   

4. Helmを使用して、YAMLファイル名でデプロイをアップグレードします。

   helm upgrade --install kong-ee kong/kong -f ./myvalues.yaml -n kong
   

Dockerがインストールされている場合は、次のコマンドを実行して必要な環境変数を設定し、Kong Gateway構成を再読み込みします。

中括弧 ( {} ) で示されるすべてのフィールドに独自の値を入力します。

echo "
  KONG_ENFORCE_RBAC=on \
  KONG_ADMIN_GUI_AUTH=openid-connect \
  KONG_ADMIN_GUI_AUTH_CONF='{
      \"issuer\": \"{YOUR_IDP_URL}\",
      \"admin_claim\": \"email\",
      \"client_id\": [\"<someid id="sl-md0000000">\"],
      \"client_secret\": [\"<somesecret id="sl-md0000000">\"],
      \"authenticated_groups_claim\": [\"{CLAIM_NAME}\"],,
      \"ssl_verify\": false,
      \"leeway\": 60,
      \"redirect_uri\": [\"{YOUR_REDIRECT_URI}\"],
      \"login_redirect_uri\": [\"{YOUR_LOGIN_REDIRECT_URI}\"],
      \"logout_methods\": [\"GET\", \"DELETE\"],
      \"logout_query_arg\": \"logout\",
      \"logout_redirect_uri\": [\"{YOUR_LOGOUT_REDIRECT_URI}\"],
      \"scopes\": [\"openid\",\"profile\",\"email\",\"offline_access\"],
      \"auth_methods\": [\"authorization_code\"],
      \"admin_auto_create_rbac_token_disabled\": false,
      \"admin_auto_create\": true
    }' kong reload exit" | docker exec -i {KONG_CONTAINER_ID} /bin/sh

{KONG_CONTAINER_ID} をコンテナの ID に置き換えます。

上記で使用されるすべてのパラメータ、および他の多数のカスタマイズオプションの詳細な説明については、OpenID Connectパラメータに関する参考資料を参照してください。

1. kong.confファイルに移動します。

2. RBACを有効にした状態で、admin_gui_authプロパティとadmin_gui_auth_confプロパティをファイルに追加します。

   中括弧 ( {} ) で示されるすべてのフィールドに独自の値を入力します。

   enforce_rbac = on
   admin_gui_auth = openid-connect
   admin_gui_auth_conf = {                                      
       "issuer": "{YOUR_IDP_URL}",        
       "admin_claim": "email",
       "client_id": ["{CLIENT_ID}"],                 
       "client_secret": ["{CLIENT_SECRET}"],
       "authenticated_groups_claim": ["{CLAIM_NAME}"],
       "ssl_verify": false,
       "leeway": 60,
       "redirect_uri": ["{YOUR_REDIRECT_URI}"],
       "login_redirect_uri": ["{YOUR_LOGIN_REDIRECT_URI}"],
       "logout_methods": ["GET", "DELETE"],
       "logout_query_arg": "logout",
       "logout_redirect_uri": ["{YOUR_LOGOUT_REDIRECT_URI}"],
       "scopes": ["openid","profile","email","offline_access"],
       "auth_methods": ["authorization_code"],
       "admin_auto_create_rbac_token_disabled": false,
       "admin_auto_create": true
   }
   

   上記で使用されるすべてのパラメータ、および他の多数のカスタマイズオプションの詳細な説明については、OpenID Connectパラメータに関する参考資料を参照してください。

3. Kong Gatewayを再起動して、ファイルを適用します。

   kong restart -c /path/to/kong.conf