OpenShift 活动目录身份验证答案

【问题标题】：OpenShift Active Directory AuthenticationOpenShift 活动目录身份验证
【发布时间】：2017-07-11 23:42:45
【问题描述】：

我真的很难让 Active Directory 身份验证正常工作。

master-config.yaml 文件的 oauthConfig 部分是这样开始的，一切都很好。

oauthConfig:
  assetPublicURL: https://master.domain.local:8443/console/
  grantConfig:
    method: auto
  identityProviders:
  - challenge: true
    login: true
    mappingMethod: claim
    name: allow_all
    provider:
      apiVersion: v1
      kind: AllowAllPasswordIdentityProvider
  masterCA: ca-bundle.crt
  masterPublicURL: https://master.domain.local:8443
  masterURL: https://master.domain.local:8443

然后我尝试将 master-config.yaml 文件的 oauthConfig 部分修改为如下所示。

oauthConfig:
  assetPublicURL: https://master.domain.local:8443/console/
  grantConfig:
    method: auto
  identityProviders:
  - name: Active_Directory
    challenge: true
    login: true
    mappingMethod: claim
    provider:
      apiVersion: v1
      kind: LDAPPasswordIdentityProvider
      attributes:
        id:
        - dn
        email:
        - mail
        name:
        - cn
        preferredUsername:
        - uid
      bindDN: "cn=openshift,cn=users,dc=domain,dc=local"
      bindPassword: "password"
      insecure: true
      url: ldap://dc.domain.local:389/cn=users,dc=domain,dc=local?uid
  assetPublicURL: https://master.domain.local:8443/console/
  masterPublicURL: https://master.domain.local:8443
  masterURL: https://master.domain.local:8443

然后我尝试重新启动 origin-master 服务，但它无法重新启动，并且不会再次启动，甚至在重新启动时也不会。如果我恢复到旧的 master-config.yaml 文件，一切都会再次正常运行，并且 origin-master 服务启动没有问题。

已在 Active Directory 中使用正确的密码创建了用户“openshift”。

我什至尝试过使用网址：ldaps://dc.domain.local:686/cn=users,dc=domain,dc=local?uid

这也不起作用。我似乎无法弄清楚我做错了什么以及 origin-master 服务不喜欢修改后的 master-config.yaml 文件导致它无法启动。

【问题讨论】：

日志中有错误吗？ /var/log/messages 通常在基于 rhel 的系统上。

标签： openshift openshift-origin

【解决方案1】：

尝试添加回 masterCA、sessionConfig 和 tokenConfig，并删除重复的 assetPublicURL。根据需要调整sessionSecretesFile 路径。

  masterCA: ca-bundle.crt
  sessionConfig:
    sessionMaxAgeSeconds: 3600
    sessionName: ssn
    sessionSecretsFile: /etc/origin/master/session-secrets.yaml
  tokenConfig:
    accessTokenMaxAgeSeconds: 86400
    authorizeTokenMaxAgeSeconds: 500

【讨论】：