ArgoCD の SSO を有効化する

概要

SSO 認証を有効化するには、uipathctl コマンド ライン ツールを使用する必要があります。

構成ファイルを準備する

ArgoCD の SSO を有効化する前に、RBAC ファイルと Dex 構成を生成する必要があります。

RBAC ファイル

RBAC ファイルにはアクセス ルールが含まれます。

組み込みのロール定義の詳細については、 ArgoCD のドキュメントをご覧ください。

ArgoCD のアカウントの種類とその権限の詳細については、「 ArgoCD でクラスターを管理する」をご覧ください。

グループを定義する際はこれらのロールを使用することをお勧めしますが、独自の権限セットを作成することもできます。

RBAC ファイルを構成する

1. 次のコマンドを実行して、policy.csv という名前のファイルを作成します。

   uipathctl config argocd generate-rbac

2. policy.csv ファイルに次の内容を追加し、保存します。

   p, role:uipath-sync, applications, get, */*, allow
   p, role:uipath-sync, applications, sync, */*, allow
   g, argocdro, role:uipath-sync

3. RBAC グループを組み込みの admin ロールと UiPath® の argocdro 読み取り専用ロールに関連付けます。それには、policy.csv RBAC ファイルに以下の行を追加します。

   g, <your_ldap_readonly_group_name>, role:uipath-sync
   g, <your_ldap_admin_group_name>, role:admin

4. 更新した policy.csv RBAC ファイルを保存します。

例：

ArgoCD 管理者の LDAP グループが Administrators で、ArgoCD の読み取り専用ユーザーの LDAP グループが Readers である場合、RBAC ファイルは次の例のようになります。

p, role:uipath-sync, applications, get, */*, allow
p, role:uipath-sync, applications, sync, */*, allow
g, argocdro, role:uipath-sync
g, Readers, role:uipath-sync
g, Administrators, role:admin

より高度なユース ケースの場合、次の例は既定の RBAC ファイルを示しています。

# Built-in policy which defines two roles: role:readonly and role:admin,
# and additionally assigns the admin user to the role:admin role.
# There are two policy formats:
# 1. Applications, logs, and exec (which belong to a project):
# p, <user/group>, <resource>, <action>, <project>/<object>
# 2. All other resources:
# p, <user/group>, <resource>, <action>, <object>

p, role:readonly, applications, get, */*, allow
p, role:readonly, certificates, get, *, allow
p, role:readonly, clusters, get, *, allow
p, role:readonly, repositories, get, *, allow
p, role:readonly, projects, get, *, allow
p, role:readonly, accounts, get, *, allow
p, role:readonly, gpgkeys, get, *, allow
p, role:readonly, logs, get, */*, allow

p, role:admin, applications, create, */*, allow
p, role:admin, applications, update, */*, allow
p, role:admin, applications, delete, */*, allow
p, role:admin, applications, sync, */*, allow
p, role:admin, applications, override, */*, allow
p, role:admin, applications, action/*, */*, allow
p, role:admin, applicationsets, get, */*, allow
p, role:admin, applicationsets, create, */*, allow
p, role:admin, applicationsets, update, */*, allow
p, role:admin, applicationsets, delete, */*, allow
p, role:admin, certificates, create, *, allow
p, role:admin, certificates, update, *, allow
p, role:admin, certificates, delete, *, allow
p, role:admin, clusters, create, *, allow
p, role:admin, clusters, update, *, allow
p, role:admin, clusters, delete, *, allow
p, role:admin, repositories, create, *, allow
p, role:admin, repositories, update, *, allow
p, role:admin, repositories, delete, *, allow
p, role:admin, projects, create, *, allow
p, role:admin, projects, update, *, allow
p, role:admin, projects, delete, *, allow
p, role:admin, accounts, update, *, allow
p, role:admin, gpgkeys, create, *, allow
p, role:admin, gpgkeys, delete, *, allow
p, role:admin, exec, create, */*, allow

g, role:admin, role:readonly
g, admin, role:admin

Dex 構成ファイル

Dex 構成ファイルには、ArgoCD の SSO を構成するために必要なパラメーターが含まれています。

注: LDAP コネクタ ファイル (ldap_connector.yaml) が既にある場合は、「ArgoCD の SSO を有効化する」までスキップしてください。

LDAP 経由の SSO を構成するには、次の手順に従います。

1. 次のコマンドを実行して、LDAP テンプレート ファイルを生成します。コネクタ テンプレート ファイルは、コマンドを実行したディレクトリと同じディレクトリに生成されます。

   uipathctl config argocd generate-dex-config -t ldap

2. --- で始まる出力をコピーし、ldap_connector.yaml として保存します。
   ArgoCD 構成ファイルの例:

   ---
   connectors:
     - type: ldap
       # Required field for connector id.
       id: ldap
       # Required field for connector name.
       name: OpenLDAP
       config:
         host: openldap:389
         insecureNoSSL: true
         startTLS: false
         bindDN: cn=admin,dc=example,dc=org
         bindPW: adminpassword
         usernamePrompt: Email Address
         userSearch:
           baseDN: ou=People,dc=example,dc=org
           filter: "(objectClass=person)"
           username: mail
           idAttr: DN
           emailAttr: mail
           nameAttr: cn
         # Group search queries for groups given a user entry.
         groupSearch:
           baseDN: ou=Groups,dc=example,dc=org
           filter: "(objectClass=groupOfNames)"
           userMatchers:
             - userAttr: DN
               groupAttr: member
           nameAttr: cn

   Active Directory の LDAP コネクタ ファイルの例:

   ---
   connectors:
   - id: ldap
     name: ActiveDirectory
     type: ldap
     config:
       bindDN: cn=admin,cn=Users,dc=example,dc=local
       bindPW: "<admins's password>"
       groupSearch:
         baseDN: dc=example,dc=local
         filter: "(objectClass=group)"
         nameAttr: cn
         userMatchers:
           - userAttr: distinguishedName
             groupAttr: member
       host: "ldaphost:389"
       insecureNoSSL: true
       insecureSkipVerify: true
       startTLS: false
       userSearch:
         baseDN: cn=Users,dc=example,dc=local
         emailAttr: userPrincipalName
         filter: (objectClass=person)
         idAttr: DN
         nameAttr: cn
         username: userPrincipalName
       usernamePrompt: Email Address

3. LDAP コネクタ ファイルを必要な情報で更新して保存します。LDAPS の使用をお勧めします。

ArgoCD の SSO を有効化する

RBAC と Dex 構成ファイルを準備したら、ArgoCD の SSO を有効化できます。

1. cluster_config.json ファイルを以下のパラメーターで更新します。

   1. fabric.argocd_dex_config_file - 前に作成した Dex 構成ファイルへのパスを入力します。
   2. fabric.argocd_rbac_config_file - 前に作成した RBAC ファイルへのパスを入力します。

2. ファブリック インストーラーを再実行します。

   ./install-uipath.sh -i cluster_config.json -f -o output.json --accept-license-agreement