Aktivieren von SSO für ArgoCD

Überblick

Das Skript uipathctl.sh ist erforderlich, um die SSO-Authentifizierung zu aktivieren. Weitere Informationen zum Skript und zu den Parametern, die Sie verwenden müssen, finden Sie unter Verwenden von uipathctl.sh.

Vorbereiten der Konfigurationsdateien

Sie müssen die RBAC-Datei und die Dex-Konfigurationsdatei generieren, bevor Sie SSO für ArgoCD aktivieren.

Die RBAC-Datei

Die RBAC-Datei enthält Zugriffsregeln. Weitere Informationen zu den integrierten Rollendefinitionen finden Sie in der ArgoCD-Dokumentation. Weitere Informationen zu den ArgoCD-Kontotypen und deren Berechtigungen finden Sie unter Verwalten des Clusters in ArgoCD. Wir empfehlen, diese Rollen beim Definieren Ihrer Gruppen zu verwenden, aber Sie können auch Ihre eigenen Berechtigungen erstellen.

Konfigurieren der RBAC-Datei

1. Create a file named policy.csv by running the following command:

   uipathctl config argocd generate-rbac

2. Add the following content to the policy.csv file and save it:

   p, role:uipath-sync, applications, get, */*, allow
   p, role:uipath-sync, applications, sync, */*, allow
   g, argocdro, role:uipath-sync

3. Associate your RBAC groups with the built-in admin role and the UiPath® argocdro read-only role, by appending the following lines to the policy.csv RBAC file:

   g, <your_ldap_readonly_group_name>, role:uipath-sync
   g, <your_ldap_admin_group_name>, role:admin

4. Speichern Sie die aktualisierte policy.csv RBAC-Datei.

Beispiel:

Angenommen, Ihre LDAP-Gruppe für ArgoCD-Administratoren ist „Administratoren“ und die LDAP-Gruppe für schreibgeschützte ArgoCD-Benutzer ist „Readers“. Die RBAC-Datei sollte wie folgt lauten:

p, role:uipath-sync, applications, get, */*, allow
p, role:uipath-sync, applications, sync, */*, allow
g, argocdro, role:uipath-sync
g, Readers, role:uipath-sync
g, Administrators, role:admin

Weitere Anwendungsfälle finden Sie in der Standard-RBAC-Datei.

# Built-in policy which defines two roles: role:readonly and role:admin,
# and additionally assigns the admin user to the role:admin role.
# There are two policy formats:
# 1. Applications, logs, and exec (which belong to a project):
# p, <user/group>, <resource>, <action>, <project>/<object>
# 2. All other resources:
# p, <user/group>, <resource>, <action>, <object>

p, role:readonly, applications, get, */*, allow
p, role:readonly, certificates, get, *, allow
p, role:readonly, clusters, get, *, allow
p, role:readonly, repositories, get, *, allow
p, role:readonly, projects, get, *, allow
p, role:readonly, accounts, get, *, allow
p, role:readonly, gpgkeys, get, *, allow
p, role:readonly, logs, get, */*, allow

p, role:admin, applications, create, */*, allow
p, role:admin, applications, update, */*, allow
p, role:admin, applications, delete, */*, allow
p, role:admin, applications, sync, */*, allow
p, role:admin, applications, override, */*, allow
p, role:admin, applications, action/*, */*, allow
p, role:admin, applicationsets, get, */*, allow
p, role:admin, applicationsets, create, */*, allow
p, role:admin, applicationsets, update, */*, allow
p, role:admin, applicationsets, delete, */*, allow
p, role:admin, certificates, create, *, allow
p, role:admin, certificates, update, *, allow
p, role:admin, certificates, delete, *, allow
p, role:admin, clusters, create, *, allow
p, role:admin, clusters, update, *, allow
p, role:admin, clusters, delete, *, allow
p, role:admin, repositories, create, *, allow
p, role:admin, repositories, update, *, allow
p, role:admin, repositories, delete, *, allow
p, role:admin, projects, create, *, allow
p, role:admin, projects, update, *, allow
p, role:admin, projects, delete, *, allow
p, role:admin, accounts, update, *, allow
p, role:admin, gpgkeys, create, *, allow
p, role:admin, gpgkeys, delete, *, allow
p, role:admin, exec, create, */*, allow

g, role:admin, role:readonly
g, admin, role:admin

Dex-Konfigurationsdatei

Die Dex-Konfigurationsdatei enthält die erforderlichen Parameter zum Konfigurieren von SSO für ArgoCD.

Hinweis: Wenn Sie bereits über eine LDAP Connector-Datei (ldap_connector.yaml) verfügen, fahren Sie mit Aktivieren von SSO für ArgoCD fort.

Führen Sie die folgenden Schritte aus, um SSO über LDAP zu konfigurieren:

1. Generieren Sie die LDAP-Vorlagendatei, indem Sie den folgenden Befehl ausführen. Die Connector-Vorlagendatei wird in demselben Verzeichnis generiert, in dem Sie den Befehl ausführen.

   uipathctl config argocd generate-dex-config -t ldap

2. Kopieren Sie die Ausgabe, die bei --- beginnt, und speichern Sie sie als ldap_connector.yaml .
   Beispiel für eine ArgoCD-Konfigurationsdatei:

   ---
   connectors:
     - type: ldap
       # Required field for connector id.
       id: ldap
       # Required field for connector name.
       name: OpenLDAP
       config:
         host: openldap:389
         insecureNoSSL: true
         startTLS: false
         bindDN: cn=admin,dc=example,dc=org
         bindPW: adminpassword
         usernamePrompt: Email Address
         userSearch:
           baseDN: ou=People,dc=example,dc=org
           filter: "(objectClass=person)"
           username: mail
           idAttr: DN
           emailAttr: mail
           nameAttr: cn
         # Group search queries for groups given a user entry.
         groupSearch:
           baseDN: ou=Groups,dc=example,dc=org
           filter: "(objectClass=groupOfNames)"
           userMatchers:
             - userAttr: DN
               groupAttr: member
           nameAttr: cn

   Beispiel für eine Active Directory LDAP Connector-Datei:

   ---
   connectors:
   - id: ldap
     name: ActiveDirectory
     type: ldap
     config:
       bindDN: cn=admin,cn=Users,dc=example,dc=local
       bindPW: "<admins's password>"
       groupSearch:
         baseDN: dc=example,dc=local
         filter: "(objectClass=group)"
         nameAttr: cn
         userMatchers:
           - userAttr: distinguishedName
             groupAttr: member
       host: "ldaphost:389"
       insecureNoSSL: true
       insecureSkipVerify: true
       startTLS: false
       userSearch:
         baseDN: cn=Users,dc=example,dc=local
         emailAttr: userPrincipalName
         filter: (objectClass=person)
         idAttr: DN
         nameAttr: cn
         username: userPrincipalName
       usernamePrompt: Email Address

3. Aktualisieren Sie die LDAP-Connector-Datei mit den erforderlichen Informationen und speichern Sie sie. Wir empfehlen die Verwendung von LDAPS.

Aktivieren von SSO für ArgoCD

Nachdem Sie die RBAC-Datei und Dex-Konfigurationsdatei vorbereitet haben, können Sie SSO für ArgoCD aktivieren:

1. Aktualisieren Sie die Datei cluster_config.json mit den folgenden Parametern:

   1. fabric.argocd_dex_config_file – Geben Sie den Pfad zur zuvor erstellten Dex-Konfigurationsdatei ein.
   2. fabric.argocd_rbac_config_file – Geben Sie den Pfad zur zuvor erstellten RBAC-Datei ein.

2. Führen Sie das Fabric-Installationsprogramm erneut aus:

   ./install-uipath.sh -i cluster_config.json -f -o output.json --accept-license-agreement