Red Hat 单点登录与 Ansible Tower 集成

如您所知，Red Hat Ansible Tower 默认支持 SAML 身份验证（N 和 Z）。本文档将指导您完成配置这两个产品以将身份验证委托给 RHSSO/Keycloak（Red Hat 单点登录）的步骤。

需求

正在运行的 RHSSO/Keycloak 实例
Ansible Tower
两者的管理员权限
DNS 解析

动手实验

除非您已经有自己的证书，否则第一步是创建一个。为此，执行以下命令：

openssl req -new -x509 -days 365 -nodes -out saml.crt -keyout saml.key

现在我们需要在 RHSSO 平台上创建 Ansible Tower 领域。转到“选择领域”下拉菜单，然后点击“添加新领域”。

Ansible-Tower-SSO-Screen-16

创建完成后，转到“密钥”选项卡，删除默认创建的所有证书、密钥等。

现在我们拥有了一个干净的领域，让我们用适当的信息填充它。点击右上角的“添加密钥库”，然后点击 RSA。

Ansible-Tower-SSO-Screen-15

点击保存并创建您的 Ansible Tower 客户端信息。建议先从 Tower 配置开始，以便您可以注入元数据文件并自定义一些字段。

以管理员用户身份登录 Ansible Tower，然后转到“设置 > 配置 Tower > 身份验证 > SAML”。在这里，您会发现许多字段（其中两个是只读的），这些字段为我们提供了使这项工作正常进行所需的信息。

断言使用者服务
服务提供商的元数据 URL（这将返回您的 IDP 的配置）

Ansible-Tower-SSO-Screen-18

现在让我们填写所有必需的字段。

SAML 服务提供商的 EntityID：tower.usersys.redhat.com（必须与 RHSSO 上的client_id名称相同）
公钥证书：使用 saml.crt（cat saml.crt 并复制/粘贴）
私钥：使用相同的 .key（cat saml.key 并复制/粘贴）

Ansible-Tower-SSO-Screen-17

服务提供商的组织信息

{
  "en-US": {
    "url": "https://rhsso.usersys.redhat.com:8443",
    "displayname": "RHSSO Solutions Engineering",
    "name": "RHSSO"
  }
}

Ansible-Tower-SSO-Screen-4

SAML 服务提供商的技术联系人

{
  "givenName": "Juan Manuel Parrilla",
  "emailAddress": "jparrill@redhat.com"
}

Ansible-Tower-SSO-Screen-7

SAML 服务提供商的支持联系人

{
  "givenName": "Juan Manuel Parrilla",
  "emailAddress": "jparrill@redhat.com"
}

Ansible-Tower-SSO-Screen-7

启用的 SAML 身份提供商

{
   "RHSSO": {
      "attr_last_name": "last_name",
      "attr_username": "username",
      "entity_id": "https://rhsso.usersys.redhat.com:8443/auth/realms/tower",
      "attr_user_permanent_id": "name_id",
      "url": "https://rhsso.usersys.redhat.com:8443/auth/realms/tower/protocol/saml",
      "attr_email": "email",
      "x509cert": "",
      "attr_first_name": "first_name",
      "attr_groups": "groups"
   }
}

注意：要在 JSON 上提供 x509cert 字段，只需执行此命令并将结果粘贴到 Ansible Tower 界面上。

sed ':a;N;$!ba;s/\n//g' saml.crt

Ansible-Tower-SSO-Screen-20

组织 SAML 映射

{
   "Default": {
      "users": true
   },
   "Systems Engineering": {
      "admins": [
         "acheron@redhat.com",
         "jparrill@redhat.com",
         "covenant@redhat.com",
         "olympia@redhat.com
      ],
      "remove_admins": false,
      "remove_users": false,
      "users": true
   }
}

Ansible-Tower-SSO-Screen-10

RHSSO 客户端配置

现在您已在 Ansible Tower 上配置了 SAML，保存更改并开始 RHSSO 客户端配置。

首先，以管理员用户身份登录 RHSSO 平台，然后转到“Tower”领域。从那里，转到“客户端”并选择“创建”。点击“选择文件”导入我们已经在 Ansible Tower 上拥有的数据（要获取配置，请从您的笔记本电脑执行此命令：curl -L -k https://tower.usersys.redhat.com/sso/metadata/saml/）。通过将其指向tower.usersys.redhat.com修改客户端 ID，然后将“客户端协议”设置为 SAML，如下所示。

Ansible-Tower-SSO-Screen-19