Activation de l’authentification unique pour ArgoCD

Vue d'ensemble (Overview)

Pour activer l’authentification unique, vous devez utiliser l’outil de ligne de commande uipathctl.

Préparation des fichiers de configuration

Vous devez générer le fichier RBAC et le fichier de configuration Dex avant d'activer l'authentification unique pour ArgoCD.

Le fichier RBAC

Le fichier RBAC contient des règles d'accès.

Pour plus d’informations sur les définitions de rôles intégrées, consultez la documentation ArgoCD.

Pour plus de détails sur les types de comptes ArgoCD et leurs autorisations, consultez la section Gestion du cluster dans ArgoCD.

Si nous vous recommandons d'utiliser ces rôles lors de la définition de vos groupes, vous pouvez créer votre propre ensemble d'autorisations.

Configuration du fichier RBAC

1. Créez un fichier nommé policy.csv en exécutant la commande suivante :

   uipathctl config argocd generate-rbac
   

2. Ajoutez le contenu suivant au fichier policy.csv, puis enregistrez-le :

   p, role:uipath-sync, applications, get, */*, allow
   p, role:uipath-sync, applications, sync, */*, allow
   g, argocdro, role:uipath-sync
   

3. Associez vos groupes RBAC au rôle d’ administrateur intégré et au rôle UiPath® argocdro en lecture seule, en ajoutant les lignes suivantes au fichier RBAC policy.csv :

   g, <your_ldap_readonly_group_name>, role:uipath-sync
   g, <your_ldap_admin_group_name>, role:admin
   

4. Enregistrez le fichier RBAC policy.csv mis à jour.

Exemple :

Si votre groupe LDAP pour les administrateurs ArgoCD est Administrators et que le groupe LDAP pour les utilisateurs ArgoCD en lecture seule est Readers, le fichier RBAC doit être similaire à celui de l’exemple suivant :

p, role:uipath-sync, applications, get, */*, allow
p, role:uipath-sync, applications, sync, */*, allow
g, argocdro, role:uipath-sync
g, Readers, role:uipath-sync
g, Administrators, role:admin

Pour les cas d’utilisation plus avancés, l’exemple suivant vous présente le fichier RBAC par défaut :

# Built-in policy which defines two roles: role:readonly and role:admin,
# and additionally assigns the admin user to the role:admin role.
# There are two policy formats:
# 1. Applications, logs, and exec (which belong to a project):
# p, <user/group>, <resource>, <action>, <project>/<object>
# 2. All other resources:
# p, <user/group>, <resource>, <action>, <object>

p, role:readonly, applications, get, */*, allow
p, role:readonly, certificates, get, *, allow
p, role:readonly, clusters, get, *, allow
p, role:readonly, repositories, get, *, allow
p, role:readonly, projects, get, *, allow
p, role:readonly, accounts, get, *, allow
p, role:readonly, gpgkeys, get, *, allow
p, role:readonly, logs, get, */*, allow

p, role:admin, applications, create, */*, allow
p, role:admin, applications, update, */*, allow
p, role:admin, applications, delete, */*, allow
p, role:admin, applications, sync, */*, allow
p, role:admin, applications, override, */*, allow
p, role:admin, applications, action/*, */*, allow
p, role:admin, applicationsets, get, */*, allow
p, role:admin, applicationsets, create, */*, allow
p, role:admin, applicationsets, update, */*, allow
p, role:admin, applicationsets, delete, */*, allow
p, role:admin, certificates, create, *, allow
p, role:admin, certificates, update, *, allow
p, role:admin, certificates, delete, *, allow
p, role:admin, clusters, create, *, allow
p, role:admin, clusters, update, *, allow
p, role:admin, clusters, delete, *, allow
p, role:admin, repositories, create, *, allow
p, role:admin, repositories, update, *, allow
p, role:admin, repositories, delete, *, allow
p, role:admin, projects, create, *, allow
p, role:admin, projects, update, *, allow
p, role:admin, projects, delete, *, allow
p, role:admin, accounts, update, *, allow
p, role:admin, gpgkeys, create, *, allow
p, role:admin, gpgkeys, delete, *, allow
p, role:admin, exec, create, */*, allow

g, role:admin, role:readonly
g, admin, role:admin

Le fichier de configuration Dex

Le fichier de configuration Dex contient les paramètres requis pour configurer l'authentification unique pour ArgoCD.

Remarque :

Si vous disposez déjà d'un fichier de connecteur LDAP (ldap_connector.yaml), passez à l' étape Activation de l'authentification unique pour ArgoCD.

Pour configurer l'authentification unique via LDAP, procédez comme suit :

1. Générez le fichier modèle LDAP en exécutant la commande suivante. Le fichier de modèle de connecteur est généré dans le même répertoire que celui où vous exécutez la commande.

   uipathctl config argocd generate-dex-config -t ldap
   

2. Copiez la sortie qui commence à --- et enregistrez-la sous le nom ldap_connector.yaml .

   Exemple de fichier de configuration ArgoCD :

   ---
   connectors:
   - type: ldap
     # Required field for connector id.
     id: ldap
     # Required field for connector name.
     name: OpenLDAP
     config:
       host: openldap:389
       insecureNoSSL: true
       startTLS: false
       bindDN: cn=admin,dc=example,dc=org
       bindPW: adminpassword
       usernamePrompt: Email Address
       userSearch:
         baseDN: ou=People,dc=example,dc=org
         filter: "(objectClass=person)"
         username: mail
         idAttr: DN
         emailAttr: mail
         nameAttr: cn
       # Group search queries for groups given a user entry.
       groupSearch:
         baseDN: ou=Groups,dc=example,dc=org
         filter: "(objectClass=groupOfNames)"
         userMatchers:
           - userAttr: DN
             groupAttr: member
         nameAttr: cn
   

   Exemple de fichier de connecteur LDAP Active Directory :

   ---
   connectors:
   - id: ldap
   name: ActiveDirectory
   type: ldap
   config:
     bindDN: cn=admin,cn=Users,dc=example,dc=local
     bindPW: "<admins's password>"
     groupSearch:
       baseDN: dc=example,dc=local
       filter: "(objectClass=group)"
       nameAttr: cn
       userMatchers:
         - userAttr: distinguishedName
           groupAttr: member
     host: "ldaphost:389"
     insecureNoSSL: true
     insecureSkipVerify: true
     startTLS: false
     userSearch:
       baseDN: cn=Users,dc=example,dc=local
       emailAttr: userPrincipalName
       filter: (objectClass=person)
       idAttr: DN
       nameAttr: cn
       username: userPrincipalName
     usernamePrompt: Email Address
   

3. Mettez à jour le fichier du connecteur LDAP avec les informations requises et enregistrez-le. Nous vous recommandons d'utiliser LDAPS.

Activation de l’authentification unique pour ArgoCD

Après avoir préparé le fichier de configuration RBAC et Dex, vous pouvez activer l'authentification unique pour ArgoCD :

1. Mettez à jour le fichier cluster_config.json avec les paramètres suivants :
   1. fabric.argocd_dex_config_file : saisissez le chemin d'accès au fichier de configuration Dex précédemment créé .
   2. fabric.argocd_rbac_config_file : saisissez le chemin d'accès au fichier RBAC précédemment créé.
2. Réexécutez le programme d'installation Fabric :

   ./install-uipath.sh -i cluster_config.json -f -o output.json --accept-license-agreement