Habilitación de SSO para ArgoCD

Información general

Se requiere el script uipathctl.sh para habilitar la autenticación SSO. Para obtener más información sobre el script y los parámetros que necesita utilizar, consulte Uso de uipathctl.sh.

Preparing the configuration files

Debe generar el archivo RBAC y el archivo del conector antes de habilitar SSO para ArgoCD.

The RBAC file

El archivo RBAC contiene reglas de acceso.

Para obtener más información sobre las definiciones de roles integradas, consulta la documentación de ArgoCD.

Para obtener más detalles sobre los tipos de cuentas de ArgoCD y sus permisos, consulta Gestionar el clúster en ArgoCD.

Recomendamos utilizar estos roles al definir tus grupos, pero puedes crear tu propio conjunto de permisos.

Configuring the RBAC file

1. Crea un archivo llamado policy.csv, añade el siguiente contenido y guarda el archivo:

   p, role:uipath-sync, applications, get, */*, allow
   p, role:uipath-sync, applications, sync, */*, allow
   g, argocdro, role:uipath-sync

2. Asocia tus grupos RBAC con el rol de administrador integrado y el rol de solo lectura de UiPath® argocdro , anexando las siguientes líneas al archivo policy.csv RBAC:

   g, <your_ldap_readonly_group_name>, role:uipath-sync
   g, <your_ldap_admin_group_name>, role:admin

3. Guarde el archivo RBAC policy.csv actualizado.

Ejemplo:

Supongamos que su grupo LDAP para administradores de ArgoCD es "Administrators" y el grupo LDAP para usuarios de solo lectura de ArgoCD es "Lectores"; el archivo RBAC debe ser:

p, role:uipath-sync, applications, get, */*, allow
p, role:uipath-sync, applications, sync, */*, allow
g, argocdro, role:uipath-sync
g, Readers, role:uipath-sync
g, Administrators, role:admin

Para casos de uso más avanzados, consulta el archivo RBAC predeterminado.

# Built-in policy which defines two roles: role:readonly and role:admin,
# and additionally assigns the admin user to the role:admin role.
# There are two policy formats:
# 1. Applications, logs, and exec (which belong to a project):
# p, <user/group>, <resource>, <action>, <project>/<object>
# 2. All other resources:
# p, <user/group>, <resource>, <action>, <object>

p, role:readonly, applications, get, */*, allow
p, role:readonly, certificates, get, *, allow
p, role:readonly, clusters, get, *, allow
p, role:readonly, repositories, get, *, allow
p, role:readonly, projects, get, *, allow
p, role:readonly, accounts, get, *, allow
p, role:readonly, gpgkeys, get, *, allow
p, role:readonly, logs, get, */*, allow

p, role:admin, applications, create, */*, allow
p, role:admin, applications, update, */*, allow
p, role:admin, applications, delete, */*, allow
p, role:admin, applications, sync, */*, allow
p, role:admin, applications, override, */*, allow
p, role:admin, applications, action/*, */*, allow
p, role:admin, applicationsets, get, */*, allow
p, role:admin, applicationsets, create, */*, allow
p, role:admin, applicationsets, update, */*, allow
p, role:admin, applicationsets, delete, */*, allow
p, role:admin, certificates, create, *, allow
p, role:admin, certificates, update, *, allow
p, role:admin, certificates, delete, *, allow
p, role:admin, clusters, create, *, allow
p, role:admin, clusters, update, *, allow
p, role:admin, clusters, delete, *, allow
p, role:admin, repositories, create, *, allow
p, role:admin, repositories, update, *, allow
p, role:admin, repositories, delete, *, allow
p, role:admin, projects, create, *, allow
p, role:admin, projects, update, *, allow
p, role:admin, projects, delete, *, allow
p, role:admin, accounts, update, *, allow
p, role:admin, gpgkeys, create, *, allow
p, role:admin, gpgkeys, delete, *, allow
p, role:admin, exec, create, */*, allow

g, role:admin, role:readonly
g, admin, role:admin

The LDAP connector file

El archivo del conector LDAP contiene los parámetros de LDAP necesarios para configurar SSO para ArgoCD.

Nota: Si ya tienes un archivo de conector LDAP (ldap_connector.yaml), ve a Habilitación del SSO para ArgoCD.

Para configurar SSO a través de LDAP, siga los siguientes pasos:

1. Genere el archivo de plantilla LDAP ejecutando el siguiente comando. El archivo de plantilla de conector se genera en el mismo directorio en el que ejecutas el comando.

   ./uipathctl.sh sso-generate-connector --sso-connector-type ldap --install-type [online|offline] --accept-license-agreement

2. Copie la salida que comienza en --- y guárdela como ldap_connector.yaml.
   Ejemplo de archivo de conector openLDAP:

   ---
   type: ldap
   # Required field for connector id.
   id: ldap
   # Required field for connector name.
   name: OpenLDAP
   config:
     host: openldap:389
     insecureNoSSL: true
     startTLS: false
     bindDN: cn=admin,dc=example,dc=org
     bindPW: adminpassword
     usernamePrompt: Email Address
     userSearch:
       baseDN: ou=People,dc=example,dc=org
       filter: "(objectClass=person)"
       username: mail
       idAttr: DN
       emailAttr: mail
       nameAttr: cn
     # Group search queries for groups given a user entry.
     groupSearch:
       baseDN: ou=Groups,dc=example,dc=org
       filter: "(objectClass=groupOfNames)"
       userMatchers:
         - userAttr: DN
           groupAttr: member
       nameAttr: cn

   Ejemplo de archivo de conector LDAP de Active Directory:

   ---
   id: ldap
   name: ActiveDirectory
   type: ldap
   config:
     bindDN: cn=admin,cn=Users,dc=example,dc=local
     bindPW: "<admins's password>"
     groupSearch:
       baseDN: dc=example,dc=local
       filter: "(objectClass=group)"
       nameAttr: cn
       userMatchers:
         - userAttr: distinguishedName
           groupAttr: member
     host: "ldaphost:389"
     insecureNoSSL: true
     insecureSkipVerify: true
     startTLS: false
     userSearch:
       baseDN: cn=Users,dc=example,dc=local
       emailAttr: userPrincipalName
       filter: (objectClass=person)
       idAttr: DN
       nameAttr: cn
       username: userPrincipalName
     usernamePrompt: Email Address

3. Actualice el archivo del conector LDAP con la información requerida y guárdelo. Recomendamos utilizar LDAPS.

Habilitación de SSO para ArgoCD

Después de preparar el RBAC y el archivo del conector, puede habilitar SSO para ArgoCD.

Usando LDAP

Habilita el SSO para ArgoCD ejecutando el siguiente comando en el directorio donde se almacena el archivo del conector:

./uipathctl.sh sso-apply-overlays --install-type [online|offline] --accept-license-agreement --sso-connector-file ldap_connector.yaml --sso-rbac-file policy.csv

Nota: Después de ejecutar el comando anterior, debería ver un botón de inicio de sesión SSO en la página de inicio de sesión de ArgoCD. Proporcione el nombre de usuario y la contraseña del dominio de su empresa.