配置 Shibboleth (SAML)

配置 Shibboleth (SAML)

如果你的组织使用 Shibboleth Identity Provider (IdP)) 进行用户身份验证，你可以通过配置 Rancher 来允许用户使用 Shibboleth 凭证登录。

在此配置中，当 Rancher 用户登录时，他们将被重定向到 Shibboleth IdP 来输入凭证。身份验证结束后，他们将被重定向回 Rancher UI。

如果你将 OpenLDAP 配置为 Shibboleth 的后端，SAML 断言会返回到 Rancher，其中包括用于引用组的用户属性。然后，通过身份验证的用户将能够访问其所在的组有权访问的 Rancher 资源。

本节假定你已了解 Rancher，Shibboleth 和 OpenLDAP 是如何协同工作的。有关工作原理的详细说明，请参见本页。

在 Rancher 中设置 Shibboleth

Shibboleth 先决条件

你必须配置了 Shibboleth IdP 服务器。
以下是 Rancher Service Provider 配置所需的 URL：元数据 URL：https://<rancher-server>/v1-saml/shibboleth/saml/metadata 断言使用者服务 (ACS) URL：https://<rancher-server>/v1-saml/shibboleth/saml/acs
从 IdP 服务器导出 metadata.xml 文件。详情请参见 Shibboleth 文档。

在 Rancher 中配置 Shibboleth

如果你的组织使用 Shibboleth 进行用户身份验证，你可以通过配置 Rancher 来允许你的用户使用 IdP 凭证登录。

在左上角，单击 ☰ > 用户 & 认证。
在左侧导航栏，单击认证。
单击 Shibboleth。
填写配置 Shibboleth 账号表单。Shibboleth IdP 允许你指定要使用的数据存储。你可以添加数据库或使用现有的 ldap 服务器。例如，如果你选择 Active Directory (AD) 服务器，下面的示例将描述如何将 AD 属性映射到 Rancher 中的字段：
1. 显示名称字段：包含用户显示名称的 AD 属性（例如：displayName）。
2. 用户名字段：包含用户名/给定名称的 AD 属性（例如：givenName）。
3. UID 字段：每个用户唯一的 AD 属性（例如：sAMAccountName、distinguishedName）。
4. 用户组字段: 创建用于管理组成员关系的条目（例如：memberOf）。
5. Rancher API 主机：你的 Rancher Server 的 URL。
6. 私钥和证书：密钥/证书对，用于在 Rancher 和你的 IdP 之间创建一个安全外壳（SSH）。
  
  你可以使用 openssl 命令进行创建。例如：
```
openssl req -x509 -newkey rsa:2048 -keyout myservice.key -out myservice.cert -days 365 -nodes -subj "/CN=myservice.example.com"
```
7. IDP 元数据：从 IdP 服务器导出的 metadata.xml 文件。
完成配置 Shibboleth 账号表单后，单击启用。

Rancher 会将你重定向到 IdP 登录页面。输入使用 Shibboleth IdP 进行身份验证的凭证，来验证你的 Rancher Shibboleth 配置。

备注

你可能需要禁用弹出窗口阻止程序才能看到 IdP 登录页面。