認証の設定

Rancher 認証プロキシは、以下の外部認証サービスと統合されています。

ただし、Rancher は ローカル認証 も提供しています。

ほとんどの場合、ローカル認証よりも外部認証サービスを使用するべきです。外部認証は中央の場所からユーザー管理を可能にします。ただし、外部認証プロバイダーが利用できない場合やメンテナンス中の場合など、稀な状況下で Rancher を管理するために、いくつかのローカル認証ユーザーが必要になることがあります。

Rancherは、誰がRancherにログインできるか、どのリソースにアクセスできるかを判断するために、ユーザーとグループに依存しています。外部プロバイダーで認証する際、グループはユーザーに基づいて外部プロバイダーから提供されます。これらのユーザーとグループには、クラスター、プロジェクト、グローバルDNSプロバイダーおよびエントリなどのリソースに対して特定の役割が与えられます。グループにアクセスを許可すると、そのグループのメンバーであるすべてのユーザーが、指定した権限でリソースにアクセスできるようになります。役割と権限に関する詳細は、ロールベースのアクセス制御を参照してください。

詳細については、ユーザーとグループを参照してください。

Rancherを外部認証サービスを使用してサインオンできるように設定した後、誰がRancherにログインして使用できるかを設定する必要があります。次のオプションを指定できます。

認可サービス内のユーザーに対するRancherのアクセスレベルを設定するには、次の手順に従ってください。

*結果:*Rancherのアクセス構成設定が適用されました。

外部認証の設定には以下が必要です：

外部認証の設定は、Rancher内でのプリンシパルユーザーの管理にも影響します。具体的には、ユーザーアカウントが外部プロバイダーを有効にすると、管理者レベルの権限が付与されます。これは、ローカルプリンシパルと外部プリンシパルが同じユーザーIDとアクセス権を共有しているためです。

以下の手順でこれらの影響を示します：

認証プロバイダーを無効にすると、Rancherはそれに関連するすべてのリソースを削除します。例えば：

この操作は多くのリソースの損失につながる可能性があるため、プロバイダーに対して保護策を追加することをお勧めします。このクリーンアッププロセスが認証プロバイダーが無効になっているときに実行されないようにするには、対応する認証設定に特別なアノテーションを追加してください。

例えば、Azure ADプロバイダーに保護策を追加するには、`azuread`認証設定オブジェクトにアノテーションを付けます：

kubectl annotate --overwrite authconfig azuread management.cattle.io/auth-provider-cleanup='user-locked'

Rancherは、アノテーションを`unlocked`に設定するまでクリーンアップを実行しません。