ArgoCD の SSO を有効化する

概要

SSO 認証を有効化するには、uipathctl.sh スクリプトが必要です。スクリプトおよび使用する必要があるパラメーターの詳細については、「uipathctl.sh を使用する」をご覧ください。

構成ファイルを準備する

ArgoCD の SSO を有効化する前に、RBAC ファイルと Dex 構成を生成する必要があります。

RBAC ファイル

RBAC ファイルにはアクセス ルールが含まれます。組み込みのロール定義の詳細については、ArgoCD のドキュメントをご覧ください。ArgoCD のアカウントの種類とその権限の詳細については、「ArgoCD でクラスターを管理する」をご覧ください。グループを定義する際はこれらのロールを使用することをお勧めしますが、独自の権限セットを作成することもできます。

RBAC ファイルを構成する

1. Create a file named policy.csv by running the following command:

   uipathctl config argocd generate-rbac

2. Add the following content to the policy.csv file and save it:

   p, role:uipath-sync, applications, get, */*, allow
   p, role:uipath-sync, applications, sync, */*, allow
   g, argocdro, role:uipath-sync

3. RBAC グループを組み込みの admin ロールと UiPath® の argocdro 読み取り専用ロールに関連付けます。それには、policy.csv RBAC ファイルに以下の行を追加します。

   g, <your_ldap_readonly_group_name>, role:uipath-sync
   g, <your_ldap_admin_group_name>, role:admin

4. 更新した policy.csv RBAC ファイルを保存します。

例：

たとえば、ArgoCD 管理者の LDAP グループが「Administrators」で、ArgoCD の読み取り専用ユーザーの LDAP グループが「Readers」である場合、RBAC ファイルは次のようになります。

p, role:uipath-sync, applications, get, */*, allow
p, role:uipath-sync, applications, sync, */*, allow
g, argocdro, role:uipath-sync
g, Readers, role:uipath-sync
g, Administrators, role:admin

より高度なユース ケースについては、既定の RBAC ファイルをご覧ください。

# Built-in policy which defines two roles: role:readonly and role:admin,
# and additionally assigns the admin user to the role:admin role.
# There are two policy formats:
# 1. Applications, logs, and exec (which belong to a project):
# p, <user/group>, <resource>, <action>, <project>/<object>
# 2. All other resources:
# p, <user/group>, <resource>, <action>, <object>

p, role:readonly, applications, get, */*, allow
p, role:readonly, certificates, get, *, allow
p, role:readonly, clusters, get, *, allow
p, role:readonly, repositories, get, *, allow
p, role:readonly, projects, get, *, allow
p, role:readonly, accounts, get, *, allow
p, role:readonly, gpgkeys, get, *, allow
p, role:readonly, logs, get, */*, allow

p, role:admin, applications, create, */*, allow
p, role:admin, applications, update, */*, allow
p, role:admin, applications, delete, */*, allow
p, role:admin, applications, sync, */*, allow
p, role:admin, applications, override, */*, allow
p, role:admin, applications, action/*, */*, allow
p, role:admin, applicationsets, get, */*, allow
p, role:admin, applicationsets, create, */*, allow
p, role:admin, applicationsets, update, */*, allow
p, role:admin, applicationsets, delete, */*, allow
p, role:admin, certificates, create, *, allow
p, role:admin, certificates, update, *, allow
p, role:admin, certificates, delete, *, allow
p, role:admin, clusters, create, *, allow
p, role:admin, clusters, update, *, allow
p, role:admin, clusters, delete, *, allow
p, role:admin, repositories, create, *, allow
p, role:admin, repositories, update, *, allow
p, role:admin, repositories, delete, *, allow
p, role:admin, projects, create, *, allow
p, role:admin, projects, update, *, allow
p, role:admin, projects, delete, *, allow
p, role:admin, accounts, update, *, allow
p, role:admin, gpgkeys, create, *, allow
p, role:admin, gpgkeys, delete, *, allow
p, role:admin, exec, create, */*, allow

g, role:admin, role:readonly
g, admin, role:admin

Dex 構成ファイル

Dex 構成ファイルには、ArgoCD の SSO を構成するために必要なパラメーターが含まれています。

注: LDAP コネクタ ファイル (ldap_connector.yaml) が既にある場合は、「ArgoCD の SSO を有効化する」までスキップしてください。

LDAP 経由の SSO を構成するには、次の手順に従います。

1. 次のコマンドを実行して、LDAP テンプレート ファイルを生成します。コネクタ テンプレート ファイルは、コマンドを実行したディレクトリと同じディレクトリに生成されます。

   uipathctl config argocd generate-dex-config -t ldap

2. --- で始まる出力をコピーし、ldap_connector.yaml として保存します。
   ArgoCD 構成ファイルの例:

   ---
   connectors:
     - type: ldap
       # Required field for connector id.
       id: ldap
       # Required field for connector name.
       name: OpenLDAP
       config:
         host: openldap:389
         insecureNoSSL: true
         startTLS: false
         bindDN: cn=admin,dc=example,dc=org
         bindPW: adminpassword
         usernamePrompt: Email Address
         userSearch:
           baseDN: ou=People,dc=example,dc=org
           filter: "(objectClass=person)"
           username: mail
           idAttr: DN
           emailAttr: mail
           nameAttr: cn
         # Group search queries for groups given a user entry.
         groupSearch:
           baseDN: ou=Groups,dc=example,dc=org
           filter: "(objectClass=groupOfNames)"
           userMatchers:
             - userAttr: DN
               groupAttr: member
           nameAttr: cn

   Active Directory の LDAP コネクタ ファイルの例:

   ---
   connectors:
   - id: ldap
     name: ActiveDirectory
     type: ldap
     config:
       bindDN: cn=admin,cn=Users,dc=example,dc=local
       bindPW: "<admins's password>"
       groupSearch:
         baseDN: dc=example,dc=local
         filter: "(objectClass=group)"
         nameAttr: cn
         userMatchers:
           - userAttr: distinguishedName
             groupAttr: member
       host: "ldaphost:389"
       insecureNoSSL: true
       insecureSkipVerify: true
       startTLS: false
       userSearch:
         baseDN: cn=Users,dc=example,dc=local
         emailAttr: userPrincipalName
         filter: (objectClass=person)
         idAttr: DN
         nameAttr: cn
         username: userPrincipalName
       usernamePrompt: Email Address

3. LDAP コネクタ ファイルを必要な情報で更新して保存します。LDAPS の使用をお勧めします。

ArgoCD の SSO を有効化する

RBAC と Dex 構成ファイルを準備したら、ArgoCD の SSO を有効化できます。

1. 次のパラメーターを使用して cluster_config.json ファイルを更新します。

   1. fabric.argocd_dex_config_file - 前に作成した Dex 構成ファイルへのパスを入力します。
   2. fabric.argocd_rbac_config_file - 前に作成した RBAC ファイルへのパスを入力します。

2. ファブリック インストーラーを再実行します。

   ./install-uipath.sh -i cluster_config.json -f -o output.json --accept-license-agreement