Activation de l’authentification unique pour ArgoCD

Vue d'ensemble (Overview)

Le script uipathctl.sh est requis pour activer l'authentification unique. Pour plus de détails sur le script et les paramètres que vous devez utiliser, consultez Utilisation de uipathctl.sh.

Préparation des fichiers de configuration

Vous devez générer le fichier RBAC et le fichier de connecteur avant d'activer l'authentification unique pour ArgoCD.

Le fichier RBAC

Le fichier RBAC contient des règles d'accès. Pour plus d'informations sur les définitions de rôles intégrées, consultez la documentation ArgoCD. Pour plus de détails sur les types de comptes ArgoCD et leurs autorisations, consultez la section Gestion du cluster dans ArgoCD. Si nous vous recommandons d'utiliser ces rôles lors de la définition de vos groupes, vous pouvez créer votre propre ensemble d'autorisations.

Configuration du fichier RBAC

1. Créez un fichier nommé policy.csv , ajoutez le contenu suivant et enregistrez le fichier :

   p, role:uipath-sync, applications, get, */*, allow
   p, role:uipath-sync, applications, sync, */*, allow
   g, argocdro, role:uipath-sync

2. Associate your RBAC groups with the built-in admin role and the UiPath® argocdro read-only role, by appending the following lines to the policy.csv RBAC file:

   g, <your_ldap_readonly_group_name>, role:uipath-sync
   g, <your_ldap_admin_group_name>, role:admin

3. Enregistrez le fichier RBAC policy.csv mis à jour.

Exemple :

Supposons que votre groupe LDAP pour les administrateurs ArgoCD soit « Administrateurs » et que le groupe LDAP pour les utilisateurs ArgoCD en lecture seule soit « Lecteurs », le fichier RBAC doit être :

p, role:uipath-sync, applications, get, */*, allow
p, role:uipath-sync, applications, sync, */*, allow
g, argocdro, role:uipath-sync
g, Readers, role:uipath-sync
g, Administrators, role:admin

Pour des cas d'utilisation plus avancés, consultez le fichier RBAC par défaut.

# Built-in policy which defines two roles: role:readonly and role:admin,
# and additionally assigns the admin user to the role:admin role.
# There are two policy formats:
# 1. Applications, logs, and exec (which belong to a project):
# p, <user/group>, <resource>, <action>, <project>/<object>
# 2. All other resources:
# p, <user/group>, <resource>, <action>, <object>

p, role:readonly, applications, get, */*, allow
p, role:readonly, certificates, get, *, allow
p, role:readonly, clusters, get, *, allow
p, role:readonly, repositories, get, *, allow
p, role:readonly, projects, get, *, allow
p, role:readonly, accounts, get, *, allow
p, role:readonly, gpgkeys, get, *, allow
p, role:readonly, logs, get, */*, allow

p, role:admin, applications, create, */*, allow
p, role:admin, applications, update, */*, allow
p, role:admin, applications, delete, */*, allow
p, role:admin, applications, sync, */*, allow
p, role:admin, applications, override, */*, allow
p, role:admin, applications, action/*, */*, allow
p, role:admin, applicationsets, get, */*, allow
p, role:admin, applicationsets, create, */*, allow
p, role:admin, applicationsets, update, */*, allow
p, role:admin, applicationsets, delete, */*, allow
p, role:admin, certificates, create, *, allow
p, role:admin, certificates, update, *, allow
p, role:admin, certificates, delete, *, allow
p, role:admin, clusters, create, *, allow
p, role:admin, clusters, update, *, allow
p, role:admin, clusters, delete, *, allow
p, role:admin, repositories, create, *, allow
p, role:admin, repositories, update, *, allow
p, role:admin, repositories, delete, *, allow
p, role:admin, projects, create, *, allow
p, role:admin, projects, update, *, allow
p, role:admin, projects, delete, *, allow
p, role:admin, accounts, update, *, allow
p, role:admin, gpgkeys, create, *, allow
p, role:admin, gpgkeys, delete, *, allow
p, role:admin, exec, create, */*, allow

g, role:admin, role:readonly
g, admin, role:admin

Le fichier du connecteur LDAP

Le fichier du connecteur LDAP contient les paramètres LDAP requis pour configurer l'authentification unique pour ArgoCD.

Remarque : si vous disposez déjà d'un fichier de connecteur LDAP (ldap_connector.yaml), passez à l'étape Activation de l'authentification unique pour ArgoCD (Enabling the SSO for ArgoCD).

Pour configurer l'authentification unique via LDAP, procédez comme suit :

1. Générez le fichier modèle LDAP en exécutant la commande suivante. Le fichier de modèle de connecteur est généré dans le même répertoire que celui où vous exécutez la commande.

   ./uipathctl.sh sso-generate-connector --sso-connector-type ldap --install-type [online|offline] --accept-license-agreement

2. Copiez la sortie qui commence à --- et enregistrez-la sous le nom ldap_connector.yaml .
   Exemple de fichier de connecteur openLDAP :

   ---
   type: ldap
   # Required field for connector id.
   id: ldap
   # Required field for connector name.
   name: OpenLDAP
   config:
     host: openldap:389
     insecureNoSSL: true
     startTLS: false
     bindDN: cn=admin,dc=example,dc=org
     bindPW: adminpassword
     usernamePrompt: Email Address
     userSearch:
       baseDN: ou=People,dc=example,dc=org
       filter: "(objectClass=person)"
       username: mail
       idAttr: DN
       emailAttr: mail
       nameAttr: cn
     # Group search queries for groups given a user entry.
     groupSearch:
       baseDN: ou=Groups,dc=example,dc=org
       filter: "(objectClass=groupOfNames)"
       userMatchers:
         - userAttr: DN
           groupAttr: member
       nameAttr: cn

   Exemple de fichier de connecteur LDAP Active Directory :

   ---
   id: ldap
   name: ActiveDirectory
   type: ldap
   config:
     bindDN: cn=admin,cn=Users,dc=example,dc=local
     bindPW: "<admins's password>"
     groupSearch:
       baseDN: dc=example,dc=local
       filter: "(objectClass=group)"
       nameAttr: cn
       userMatchers:
         - userAttr: distinguishedName
           groupAttr: member
     host: "ldaphost:389"
     insecureNoSSL: true
     insecureSkipVerify: true
     startTLS: false
     userSearch:
       baseDN: cn=Users,dc=example,dc=local
       emailAttr: userPrincipalName
       filter: (objectClass=person)
       idAttr: DN
       nameAttr: cn
       username: userPrincipalName
     usernamePrompt: Email Address

3. Mettez à jour le fichier du connecteur LDAP avec les informations requises et enregistrez-le. Nous vous recommandons d'utiliser LDAPS.

Activation de l’authentification unique pour ArgoCD

Après avoir préparé le RBAC et le fichier de connecteur, vous pouvez activer l'authentification unique pour ArgoCD.

Utilisation de LDAP

Activez l'authentification unique pour ArgoCD en exécutant la commande suivante dans le répertoire où le fichier de connecteur est stocké :

./uipathctl.sh sso-apply-overlays --install-type [online|offline] --accept-license-agreement --sso-connector-file ldap_connector.yaml --sso-rbac-file policy.csv

Remarque : après avoir exécuté la commande précédente, vous devriez voir un bouton de connexion via authentification unique sur la page de connexion ArgoCD. Indiquez le nom d'utilisateur et le mot de passe du domaine de votre entreprise.