ArgoCD の SSO を有効化する

概要

SSO 認証を有効化するには、uipathctl コマンド ライン ツールを使用する必要があります。

構成ファイルを準備する

ArgoCD の SSO を有効化する前に、RBAC ファイルと Dex 構成を生成する必要があります。

RBAC ファイル

RBAC ファイルにはアクセス ルールが含まれます。

組み込みのロール定義の詳細については、 ArgoCD のドキュメントをご覧ください。

ArgoCD のアカウントの種類とその権限の詳細については、「ArgoCD でクラスターを管理する」をご覧ください。

グループを定義する際はこれらのロールを使用することをお勧めしますが、独自の権限セットを作成することもできます。

RBAC ファイルを構成する

1. 次のコマンドを実行して、policy.csv という名前のファイルを作成します。

   uipathctl config argocd generate-rbac
   

2. policy.csv ファイルに次の内容を追加し、保存します。

   p, role:uipath-sync, applications, get, */*, allow
   p, role:uipath-sync, applications, sync, */*, allow
   g, argocdro, role:uipath-sync
   

3. RBAC グループを組み込みの admin ロールと UiPath® の argocdro 読み取り専用ロールに関連付けます。それには、 policy.csv RBAC ファイルに以下の行を追加します。

   g, <your_ldap_readonly_group_name>, role:uipath-sync
   g, <your_ldap_admin_group_name>, role:admin
   

4. 更新した policy.csv RBAC ファイルを保存します。

例：

ArgoCD 管理者の LDAP グループが Administrators で、ArgoCD の読み取り専用ユーザーの LDAP グループが Reader である場合、RBAC ファイルは以下の例のいずれかのようになります。

p, role:uipath-sync, applications, get, */*, allow
p, role:uipath-sync, applications, sync, */*, allow
g, argocdro, role:uipath-sync
g, Readers, role:uipath-sync
g, Administrators, role:admin

より高度なユース ケースの場合、次の例は既定の RBAC ファイルを示しています。

# Built-in policy which defines two roles: role:readonly and role:admin,
# and additionally assigns the admin user to the role:admin role.
# There are two policy formats:
# 1. Applications, logs, and exec (which belong to a project):
# p, <user/group>, <resource>, <action>, <project>/<object>
# 2. All other resources:
# p, <user/group>, <resource>, <action>, <object>

p, role:readonly, applications, get, */*, allow
p, role:readonly, certificates, get, *, allow
p, role:readonly, clusters, get, *, allow
p, role:readonly, repositories, get, *, allow
p, role:readonly, projects, get, *, allow
p, role:readonly, accounts, get, *, allow
p, role:readonly, gpgkeys, get, *, allow
p, role:readonly, logs, get, */*, allow

p, role:admin, applications, create, */*, allow
p, role:admin, applications, update, */*, allow
p, role:admin, applications, delete, */*, allow
p, role:admin, applications, sync, */*, allow
p, role:admin, applications, override, */*, allow
p, role:admin, applications, action/*, */*, allow
p, role:admin, applicationsets, get, */*, allow
p, role:admin, applicationsets, create, */*, allow
p, role:admin, applicationsets, update, */*, allow
p, role:admin, applicationsets, delete, */*, allow
p, role:admin, certificates, create, *, allow
p, role:admin, certificates, update, *, allow
p, role:admin, certificates, delete, *, allow
p, role:admin, clusters, create, *, allow
p, role:admin, clusters, update, *, allow
p, role:admin, clusters, delete, *, allow
p, role:admin, repositories, create, *, allow
p, role:admin, repositories, update, *, allow
p, role:admin, repositories, delete, *, allow
p, role:admin, projects, create, *, allow
p, role:admin, projects, update, *, allow
p, role:admin, projects, delete, *, allow
p, role:admin, accounts, update, *, allow
p, role:admin, gpgkeys, create, *, allow
p, role:admin, gpgkeys, delete, *, allow
p, role:admin, exec, create, */*, allow

g, role:admin, role:readonly
g, admin, role:admin

Dex 構成ファイル

Dex 構成ファイルには、ArgoCD の SSO を構成するために必要なパラメーターが含まれています。

注:

LDAP コネクタ ファイル (ldap_connector.yaml) が既にある場合は、「ArgoCD の SSO を有効化する」までスキップしてください。

LDAP 経由の SSO を構成するには、次の手順に従います。

1. 次のコマンドを実行して、LDAP テンプレート ファイルを生成します。コネクタ テンプレート ファイルは、コマンドを実行したディレクトリと同じディレクトリに生成されます。

   uipathctl config argocd generate-dex-config -t ldap
   

2. --- で始まる出力をコピーし、ldap_connector.yaml として保存します。

   ArgoCD 構成ファイルの例:

   ---
   connectors:
   - type: ldap
     # Required field for connector id.
     id: ldap
     # Required field for connector name.
     name: OpenLDAP
     config:
       host: openldap:389
       insecureNoSSL: true
       startTLS: false
       bindDN: cn=admin,dc=example,dc=org
       bindPW: adminpassword
       usernamePrompt: Email Address
       userSearch:
         baseDN: ou=People,dc=example,dc=org
         filter: "(objectClass=person)"
         username: mail
         idAttr: DN
         emailAttr: mail
         nameAttr: cn
       # Group search queries for groups given a user entry.
       groupSearch:
         baseDN: ou=Groups,dc=example,dc=org
         filter: "(objectClass=groupOfNames)"
         userMatchers:
           - userAttr: DN
             groupAttr: member
         nameAttr: cn
   

   Active Directory の LDAP コネクタ ファイルの例:

   ---
   connectors:
   - id: ldap
   name: ActiveDirectory
   type: ldap
   config:
     bindDN: cn=admin,cn=Users,dc=example,dc=local
     bindPW: "<admins's password>"
     groupSearch:
       baseDN: dc=example,dc=local
       filter: "(objectClass=group)"
       nameAttr: cn
       userMatchers:
         - userAttr: distinguishedName
           groupAttr: member
     host: "ldaphost:389"
     insecureNoSSL: true
     insecureSkipVerify: true
     startTLS: false
     userSearch:
       baseDN: cn=Users,dc=example,dc=local
       emailAttr: userPrincipalName
       filter: (objectClass=person)
       idAttr: DN
       nameAttr: cn
       username: userPrincipalName
     usernamePrompt: Email Address
   

3. LDAP コネクタ ファイルを必要な情報で更新して保存します。LDAPS の使用をお勧めします。

ArgoCD の SSO を有効化する

RBAC と Dex 構成ファイルを準備したら、ArgoCD の SSO を有効化できます。

1. 次のパラメーターを使用して cluster_config.json ファイルを更新します。
   1. fabric.argocd_dex_config_file - 前に作成した Dex 構成ファイルへのパスを入力します。
   2. fabric.argocd_rbac_config_file - 前に作成した RBAC ファイルへのパスを入力します。
2. ファブリック インストーラーを再実行します。

   ./install-uipath.sh -i cluster_config.json -f -o output.json --accept-license-agreement