流程

1. 导航到 RHACS 门户，并通过从导航菜单中选择 Compliance 来打开合规性仪表板。
2. 在合规性仪表板上，通过集群小部件查找传递标准。
3. 在此小部件中，点标准以查看与该标准关联的所有控件的信息。

流程

1. 导航到 RHACS 门户，并通过从导航菜单中选择 Compliance 来打开合规性仪表板。
2. 在合规性仪表板上，通过集群小部件查找传递标准。
3. 在此小部件中，点标准以查看与该标准关联的所有控件的信息。
4. 在 Controls 表中点控制。在右侧打开侧面板。
5. 在侧边面板中，点击控制名称来查看其详情。

流程

1. 在 RHACS 门户，从 导航菜单中选择风险。
2. 在默认 风险 视图中，从部署列表中选择部署。部署详情在右侧的面板中打开。
3. 在 Deployment 详情面板中，选择 Process Discovery 选项卡。
4. 进程基准在 Spec Container Baselines 部分可见。

流程

1. 在 RHACS 门户，从 导航菜单中选择风险。
2. 在默认 风险 视图中，从部署列表中选择部署。部署详情在右侧的面板中打开。
3. 在 Deployment 详情面板中，选择 Process Discovery 选项卡。
4. 在 Running Process 部分，点您要添加到进程基准进程的 Add 图标。

流程

1. 在 RHACS 门户，从 导航菜单中选择风险。
2. 在默认 风险 视图中，从部署列表中选择部署。部署详情在右侧的面板中打开。
3. 在 Deployment 详情面板中，选择 Process Discovery 选项卡。
4. 在 Spec Container baselines 部分，点您要从进程基准中删除的进程的 Remove 图标。

流程

1. 在 RHACS 门户，从 导航菜单中选择风险。
2. 在默认 风险 视图中，从部署列表中选择部署。部署详情在右侧的面板中打开。
3. 在 Deployment 详情面板中，选择 Process Discovery 选项卡。

4. 在 Spec Container baselines 部分：

   • 点击 Lock 图标触发基线中不在的进程的违反情况。
   • 点击 Unlock 图标为不在基准中的进程停止触发违反情况。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Policies。

2. 在默认策略中禁用强制：

   • 在策略视图中，向下滚动并选择 Kubernetes Actions: Exec into Pod 策略旁边的电源图标来禁用该策略。
   • 在策略视图中，向下滚动并选择 Kubernetes Actions: Port Forward to Pod 策略旁边的电源图标来禁用该策略。
3. 在使用默认 Kubernetes Actions 中的条件创建的任何其他自定义策略中禁用强制： Port Forward to Pod 和 Kubernetes Actions: Exec to Pod 策略。

流程

1. 在 RHACS 门户，进入到 Platform Configuration → Clusters。
2. 从列表中选择现有集群。
3. 在 Static Configuration 项中关闭 Enable Admission Controller Webhook to listen on exec and port-forward events。
4. 选择 Next 以继续进行 Sensor setup。
5. 点 Download YAML File and Keys。

6. 在可以访问受监控的集群的系统中，解压缩并运行 sensor 脚本：

   $ unzip -d sensor sensor-<cluster_name>.zip

   $ ./sensor/sensor.sh

   注意

   如果您收到一个您没有部署传感器所需的权限，请按照屏幕上的说明，或与集群管理员联系以获得帮助。

   部署完传感器后，它会联系中心并提供集群信息。

7. 返回 RHACS 门户并检查部署是否成功。如果成功，则在 #2 部分中会出现一个绿色勾号。如果您没有看到绿色勾选标记，请使用以下命令检查问题：

   • 在 OpenShift Container Platform 中：

     $ oc get pod -n stackrox -w

   • 对于 Kubernetes：

     $ kubectl get pod -n stackrox -w

8. 选择 Finish。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Policies。
2. 点击 Create policy。

3. 在 Policy details 部分输入策略的详情：

   • 为策略输入一个 Name。

   • 可选：从 Attach notifiers 部分的 available Notifiers 部分中选择将通知附加到策略。

     注意

     在转发警报前，您必须将 Red Hat Advanced Cluster Security for Kubernetes 与通知提供程序集成，如 Webhook、JIRA、Pageruty、Splunk 或其他。

   • 为这个策略选择一个 严重级别，可以是 Critical、High、Medium 或 Low。
   • 选择您要 应用到 此策略的策略类别。
   • 在 Description 框中输入策略详情。
   • 输入有关在 Rationale 框中存在策略的原因。
   • 在 Guidance 框中输入解决此策略的违反情况的步骤。

   • 可选：在 MITRE ATT&CK 部分，选择您要为策略指定的技巧和您要指定的 技术。

     1. 单击 Add tactic，然后从下拉列表中选择 tactic。
     2. 单击 Add 技术 来为所选的 Tactic 添加技术。您可以为 tactic 指定多种技术。
4. 点击 Next。

5. 在 Policy 行为 部分中，为策略选择 Lifecycle 阶段 和 事件源（仅限运行时生命周期 ）。

   • 从 Build、Deploy 或 Runtime 中选择适合您的策略的 Lifecycle Stage。您可以选择多个阶段。

     • 构建时策略适用于镜像字段，如 CVE 和 Dockerfile 指令。
     • deploy-time 策略可以包括所有构建时策略标准，但还可包含集群配置中的数据，如以特权模式运行或挂载 Docker 套接字。
     • 运行时策略可以包括所有构建时和部署时策略标准，但也可在运行时包括有关进程执行的数据。

6. 对于 Response 方法，请选择：

   1. 用于在 违反列表中包括违反情况。

   2. 或选择 Inform and enforce 强制执行操作。

      • 选择策略的强制行为。它仅适用于您在配置 Lifecycle Stages 时选择的各个阶段。选择 ON （启用）来强制执行策略并报告冲突，OFF （禁用）仅报告违反情况。各个生命周期阶段的行为都不同。

        • Build - 当镜像与策略条件匹配时，Red Hat Advanced Cluster Security for Kubernetes Kubernetes 的持续集成(CI)构建会失败。
        • Deployment - Red Hat Advanced Cluster Security for Kubernetes 块创建与策略条件匹配的部署。在进行准入控制器的集群中，Kubernetes 或 OpenShift Container Platform API 服务器会阻断所有不合规的部署。在其他集群中，Red Hat Advanced Cluster Security for Kubernetes 编辑不合规的部署，以防止调度 pod。

        • Runtime - Red Hat Advanced Cluster Security for Kubernetes 会终止所有与策略条件匹配的 pod，或阻止对 pod 执行的操作。

          警告

          策略实施可能会影响正在运行的应用程序或开发过程。在启用强制选项前，请告知所有相关人员并计划如何响应自动化执行操作。

7. 点击 Next。
8. 在 Policy Criteria 部分中，配置您要为其触发策略的属性。
9. 点击 Next。

10. 在 Policy scope 部分中，配置以下内容：

    • 点 Add included Scope 来使用 Restrict to Scope，以便仅对特定集群、命名空间或标签启用此策略。您可以添加多个范围，并在 RE2 语法中为命名空间 和标签使用正则表达式。
    • 点 Add exclusion 范围 使用 Scope 排除部署、集群、命名空间和标签，这意味着策略不会应用到您选择的实体。您可以添加多个范围，并在 RE2 语法中为命名空间 和标签使用正则表达式。但是，您不能使用正则表达式来选择部署。

    • 对于 排除的镜像（仅Build Lifecycle），请选择您不想触发违反情况的所有镜像。

      注意

      排除的镜像 设置只在您通过 Build 生命周期阶段连续集成系统中检查镜像时应用。如果您使用此策略检查 Deploy 生命周期阶段中运行的部署，或检查在 Runtime 生命周期阶段中的运行时活动时，则不会生效。

11. 点击 Next。
12. 在 Review policy 部分，预览策略违反情况。
13. 点击 Save。

流程

1. 导航到 RHACS 门户并从 导航菜单中选择风险。
2. 应用您要创建策略的本地页面过滤条件。
3. 选择 New Policy 并填写所需字段来创建新策略。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Policies。
2. 在 Policies 页面中，选择您要编辑的策略。
3. 选择 Actions → Export policy to JSON。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Policies。
2. 点 Import policy。
3. 在 Import policy JSON 对话框中，点 Upload 并选择您要上传的 JSON 文件。
4. 点 Begin import。

流程

1. 在 Network Graph 视图中，选择 Configure CIDR Blocks。

2. 关闭 Network Graph 切换中的 Display auto-discovered CIDR 块 来隐藏自动发现的 CIDR 块。

   注意

   当您隐藏了自动发现的 CIDR 块时，所有集群都会隐藏自动发现的 CIDR 块，而不只适用于 Network Graph 视图中的所选集群。

3. 通过添加 CIDR 块名称和 CIDR 地址 来添加自定义 CIDR 地址。要添加多个，请选择 Add 图标。
4. 单击 Update Configuration 以保存更改。

流程

1. 要使用保存的 YAML 文件创建策略，请使用以下命令：

   $ oc create -f "<generated_file>.yaml" 1

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

2. 如果生成的策略出现问题，您可以通过运行以下命令来删除它们：

   $ oc delete -f "StackRox Generated.yaml" 1

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

流程

1. 在 RHACS 门户，从左侧导航菜单中选择 Network Graph。
2. 如果还没有选择正确的，则从顶栏的菜单中选择集群名称。
3. 选择一个或多个命名空间。
4. 选择 Network Policy Simulator。
5. 选择 View active YAMLS。
6. 选择 Revert 最近应用的 YAML 图标。

流程

1. 在 Network Graph 视图中，选择一个或多个命名空间。
2. 选择部署。

3. Network Flows 详情面板显示异常和基准流。在这个面板中，您可以：

   • 将基准中的网络流标记为异常情况，方法是选择 Mark as Anomalous，或者
   • 选择 Add to Baseline 来添加网络流到来自异常流的基准。

流程

1. 在 Network Graph 视图中选择一个部署。
2. 在网络流详情面板中，选择 Baseline Settings。

3. 打开 Alert on baseline violations toggle。

   • 当您打开 Alert on baseline 冲突 后，切换了异常的网络流会导致违反情况。
   • 您可以关闭 Alert on baseline 违反情况 来停止收到异常网络流的违反情况。

流程

1. 进入 RHACS 门户，从左侧导航菜单中点击 Configuration Management。
2. 在 Configuration Management 视图的头中选择 RBAC Visibility and Configuration → Users and Groups。Users 和 Groups 视图显示 Kubernetes 用户和组、其分配角色的列表，以及是否为每个都启用了 cluster-admin 角色。
3. 选择用户或组来查看有关关联集群和命名空间权限的更多详情。

流程

1. 进入 RHACS 门户，从左侧导航菜单中点击 Configuration Management。
2. 在 Configuration Management 视图的标头中选择 RBAC Visibility and Configuration → Service Accounts。Service Accounts 视图显示集群中 Kubernetes 服务帐户的列表，它们分配的角色（是否启用了 cluster-admin 角色），以及哪些部署使用了它们。
3. 选择一个行或带有下划线的链接来查看更多详情，包括为所选服务帐户授予哪些集群和命名空间权限。

流程

1. 进入 RHACS 门户，从左侧导航菜单中点击 Configuration Management。
2. 在 Configuration Management 视图的头中选择 RBAC Visibility and Configuration → Roles。Roles 视图显示集群中的 Kubernetes 角色列表、它们授予的权限以及使用它们的位置。
3. 选择一个一行或带有下划线的链接来查看与角色相关的更多详情。
4. 要查找未授予任何用户、组或服务帐户的角色，请选择" 用户和组" 列标题。然后在按住 Shift 键时选择 Service Account 列标题。列表中显示不授予任何用户、组或服务帐户的角色。

流程

1. 在 RHACS 门户网站中，导航至 Vulnerability Management → Dashboard。
2. 在 Dashboard 视图标头中选择 Images。
3. 从镜像列表中，选择您已评估的镜像。
4. 找到列出要对其采取行动的 CVE 的行。
5. 点击您标识的 CVE 右侧的 并点 Defer CVE。
6. 选择您要推迟 CVE 的日期和时间。
7. 如果要为所选镜像标签或者该镜像的所有标签定义 CVE，请选择。
8. 输入延迟的原因。
9. 点 Request approval。选择 CVE 右侧的蓝色信息图标，再复制批准链接以与您所在机构的 deferral approver 共享。

流程

1. 导航到 RHACS 门户，从导航菜单中单击 Vulnerability Management。
2. 选择 Vulnerability Management view 标头上的 CVE。
3. 在 CVEs 视图中，选择 Env Impact 列标题，以根据环境影响来按降序排列 CVE（最高名）。

流程

1. 导航到 RHACS 门户，从导航菜单中单击 Vulnerability Management。
2. 在 Vulnerability Management 视图标头中选择 Application & Infrastructure → Components。
3. 在 组件 视图中，选择 CVEs 列标题，以根据 CVE 计数以降序排列组件（最高名）。

流程

1. 导航到 RHACS 门户，从导航菜单中单击 Vulnerability Management。
2. 从 Top Riskies Images 小部件中选择镜像。
3. 在 Image details 视图中，选择 Image Findings 部分下的 Dockerfile 选项卡。
4. 在 Image Findings 部分下的 Dockerfile 选项卡中，选择展开图标来查看镜像组件的摘要。
5. 选择特定组件的扩展图标，以获取有关影响所选组件的 CVE 的更多详细信息。

流程

1. 导航到 RHACS 门户，从导航菜单中单击 Vulnerability Management。
2. 在 Vulnerability Management 视图标头中选择 Filter CVEs → Fixable。

流程

1. 导航到 RHACS 门户，从导航菜单中单击 Vulnerability Management。
2. 从 Vulnerability Management 视图标头中选择 Images。
3. 查看 Image OS 列下所有镜像的基础操作系统(OS)和 OS 版本。
4. 选择一个镜像来查看其详情。基础操作系统也位于 Image Summary → Details 和 Metadata 部分。

流程

1. 导航到 RHACS 门户，从导航菜单中单击 Vulnerability Management。

2. 选择 Top Risky widget 标头以选择风险性镜像、部署、集群和命名空间。

   chart 上的小圆形表示所选对象（镜像、部署、集群、命名空间）。将鼠标悬停在圆括号上，以查看它们所代表对象的概览。然后选择一个圆形来查看有关所选对象、相关实体以及它们之间的连接的详细信息。

   例如，如果您通过 CVE Count 和 CVSS 分数查看最佳风险部署，则图表上的每个圆形都代表部署。

   • 当您将鼠标悬停在部署上时，您会看到部署概述，其中包括部署名称、集群和命名空间名称、严重性、风险优先级、CVSS 和 CVE 计数（包括可修复）。
   • 当您选择一个部署时，会为所选部署打开 Deployment 视图。Deployment 视图中显示部署的深入了解，包括有关该部署的策略违反情况、常见漏洞、CVE 和风险镜像的信息。
3. 选择 View All on the widget 标头来查看所选类型的所有对象。例如，如果您 根据 CVE Count 和 CVSS 分数选择顶级风险 部署，您可以选择 View All 查看基础架构中所有部署的详细信息。

流程

1. 导航到 RHACS 门户，从导航菜单中单击 Vulnerability Management。

2. 选择 Top Riskiest Images 小部件标题，以在不同的风险和组件之间进行选择。如果您看到 最大的风险镜像 ：

   • 当您将鼠标悬停在列表中的镜像上时，您会看到镜像概述，其中包括镜像名称、扫描时间以及 CVE 的数量（关键、高、中度和低）。
   • 当您选择镜像时，为所选镜像打开 Image 视图。Image 视图显示镜像的深度详情，包括 CVSS 分数、最高风险组件、可修复的 CVE 和 Dockerfile 的信息。
3. 选择 View All on the widget 标头来查看所选类型的所有对象。例如，如果您选择 顶级风险组件，可以选择 View All 来查看基础架构中所有组件的详细信息。

流程

1. 导航到 RHACS 门户，从导航菜单中单击 Vulnerability Management。
2. 从 Top Riskies Images 小部件中选择镜像。
3. 在 Image details 视图中，选择 Image Findings 部分下的 Dockerfile 选项卡。

流程

1. 在 RHACS 门户网站中，进入 Platform Configuration → Integrations。
2. 在 Image Integrations 下，选择 StackRox Scanner。
3. 从扫描程序列表中，选择 StackRox Scanner 来查看其详细信息。
4. 从类型中删除 Node Scanner 选项。
5. 选择 Save。

流程

1. 选择 Vulnerability Management 视图标头上的 Images 来查看所有镜像的列表。
2. 在 Images 视图中，选择 Watch Images。
3. 在 Manage Inactive Images 对话框中，输入您要启用扫描的非活动 镜像的名称（而不是镜像 ID）。
4. 选择 Add Image。Red Hat Advanced Cluster Security for Kubernetes 然后扫描镜像，并显示错误或成功信息。
5. 选择 return to Image 列表 来查看 Images 视图。

流程

1. 从 Vulnerability Management 视图标头中点 CVE。
2. 为一个或多个 CVE 选择复选框（左高列），然后单击 Add selected CVE to Policy （添加 图标）。或者，将鼠标移到列表中的 CVE 上，然后选择右侧的 Add 图标。

3. 对于 Policy Name ：

   • 要将 CVE 添加到现有策略，请从下拉列表中选择现有策略。
   • 要创建新策略，请输入新策略的名称，然后选择 Create <policy_name>。
4. 为 Severity 选择一个值，可以是 Critical、High、Medium 或 Low。
5. 从 Build 或 Deploy 中选择您的策略适用的 Lifecycle Stage。您还可以选择两个生命周期阶段。
6. 在 Description 框中输入策略详情。
7. 如果要创建策略但在以后启用它，请关闭 Enable Policy 切换。Enable Policy 切换默认是 on。
8. 验证此策略中包含的列出 CVE。
9. 点 Save Policy。

流程

1. 从列表中选择一个集群来查看集群的详情。Cluster 视图包括：

   • Cluster Details 部分，显示集群详情和元数据、主要风险对象（部署、命名空间和镜像）、最近检测到的漏洞、风险镜像以及带有最严重的策略违反的部署。
   • Cluster Findings 部分，其中包括失败策略列表以及可修复的 CVE 列表。
   • 相关实体 部分，显示集群包含的命名空间、部署、策略、镜像、组件和 CVE 的数量。您可以选择这些实体来查看更多详情。
2. 点 widget 标头上的 View All 来查看所有集群的列表。

流程

1. 选择 Vulnerability Management 视图标头上的 Nodes，以查看影响节点的所有 CVE 列表。

2. 从列表中选择一个节点，以查看影响该节点的所有 CVE 的详情。

   1. 当您选择节点时，为所选节点打开 Node 详情面板。Node 视图显示节点的深度详情，其中包含有关 CVSS 分数的 CVE 的信息，以及为该节点修复的 CVE。
   2. 选择 View All on CVE by CVSS 分数 widget 标头来查看所选节点中的所有 CVE 列表。您还可以过滤 CVE 列表。
   3. 要将可修复的 CVE 导出为 CSV 文件，请在 Node Findings 部分选择 Export as CSV。

流程

1. 在 Okta 门户上，从菜单栏中选择 Applications。
2. 单击 Add Application，然后选择 Create New App。
3. 在 Create a New Application Integration 对话框中，保留 Web 作为平台，然后选择 SAML 2.0 作为您要登录的协议。
4. 点 Create。
5. 在 General Settings 页面中，在 App name 字段中输入 app 的名称。
6. 点击 Next。

7. 在 SAML Settings 页面中，为以下字段设置值：

   1. 单点登录

      • 将它指定为 https://<RHACS_portal_hostname>/sso/providers/saml/acs。
      • 将 Use this for Recipient URL 和 Destination URL 选项选中。
      • 如果您的 RHACS 门户可以通过不同的 URL 访问，您可以通过选中 Allow this app 来请求其他 SSO URL 选项来添加它们，并使用指定格式添加替代 URL。

   2. 使用者 URI(SP Entity ID)

      • 将值设为 RHACS 或您选择的另一个值。
      • 请记住，您选择的值；当您配置 Red Hat Advanced Cluster Security for Kubernetes 时，您将需要这个值。

   3. 属性声明

      • 您必须至少添加一个属性语句。

      • 红帽建议使用 email 属性：

        • 名称： mail
        • 格式： 未指定
        • Value: user.email
8. 在继续操作前，验证您是否至少配置 了一条属性语句。
9. 点击 Next。
10. 在 反馈 页面中，选择适合您的选项。
11. 选择适当的应用程序 类型。
12. 点 Finish。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Access Control。
2. 打开 Add an Auth Provider 菜单，然后选择 SAML 2.0。

3. 填写以下详情：

   • 集成名称： 用于标识此身份验证提供程序的名称，如 Okta 或 Google。集成名称显示在登录页面中，以帮助用户选择正确的符号选项。
   • ServiceProvider Issuer： 用作 Okta 中的 Audience URI 或 SP Entity ID 的值，或其他提供程序中的类似值。
   • IdP 元数据 URL： 使用 身份提供程序控制台提供的身份提供程序元数据的 URL。如果您不想使用 IdP 元数据 URL，您可以在 Okta 控制台中复制 View Setup 指令 链接中的所需的静态字段，或者为其他供应商处复制类似的位置。

4. 使用所选身份提供程序 访问 Red Hat Advanced Cluster Security for Kubernetes 的用户，选择最小访问角色。

   提示

   在完成设置时，将 Minimum access role 设置为 Admin。之后，您可以返回到 Access Control 页面，根据身份提供程序的用户元数据设置更定制的访问规则。

5. 点击 Save。

验证

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Access Control。
2. 选择 Auth Provider Rules 选项卡。
3. 在 Auth Providers 部分下，选择您要验证配置的身份验证提供程序。
4. 从 Auth Provider 部分标头选择 Test Login。Test Login 页面将在新的浏览器标签页中打开。

5. 使用您的凭据登录。

   • 成功后，Red Hat Advanced Cluster Security for Kubernetes 显示您为登录的凭证发送的用户 ID 和 用户属性。
   • 在失败时，Red Hat Advanced Cluster Security for Kubernetes 会显示一条信息来描述身份提供程序无法处理的响应的原因。

6. 关闭 Test Login browser 选项卡。

   注意

   即使响应指示成功的身份验证，您可能需要根据身份提供程序中的用户元数据创建额外的访问规则。

流程

1. 创建新的 Google Cloud Platform(GCP)项目，请参阅 Google 文档主题 创建和管理项目。
2. 创建项目后，打开 Google API 控制台中的 Credentials 页面。
3. 验证徽标旁边列出的项目名称，以确保您正在使用正确的项目。
4. 要创建新凭证，请转至 Create Credentials → OAuth 客户端 ID。
5. 选择 Web application 作为 Application type。
6. 在 Name 框中输入应用程序名称，例如： RHACS。

7. 在 Authorized redirect URIs 框中，输入 https://<stackrox_hostname>:<port_number>/sso/providers/oidc/callback。

   • 将 <stackrox_hostname > 替换为您公开您的 Central 实例的主机名。
   • 将 <port_number > 替换为您 expose Central 的端口号。如果您使用标准 HTTPS 端口 443， 可以省略端口号。
8. 点 Create。这会创建一个应用程序和凭证，并将您重新指向 credentials 页面。
9. 此时会打开一个信息框，显示新创建的应用程序的详细信息。关闭信息框。
10. 复制并保存以 .apps.googleusercontent.com 结尾的 客户端 ID。您可以使用 Google API 控制台检查此客户端 ID。

11. 从左侧的导航菜单中选择 OAuth consent 屏幕。

    注意

    OAuth 批准屏幕配置对整个 GCP 项目有效，而不仅仅是您在前面的步骤中创建的应用程序。如果您已经在这个项目中配置了 OAuth 批准屏幕，并希望为 Red Hat Advanced Cluster Security for Kubernetes 登录应用不同的设置，请创建一个新的 GCP 项目。

12. 在 OAuth 批准屏幕上：

    1. 选择 应用程序类型 作为 Internal。如果选择 公共，则具有 Google 帐户的任何人都可以登录。
    2. 输入描述性 应用程序名称。此名称显示在同意屏幕上的用户。例如，将 RHACS 或 &lt ;organization_name> SSO 用于 Red Hat Advanced Cluster Security for Kubernetes。
    3. 验证 Google API 的 Scope 只列出 电子邮件、配置集和 openid 范围。只有这些范围才需要单点登录。如果您向其他范围授予额外的范围，这会增加公开敏感数据的风险。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Access Control。
2. 打开 Add a Auth Provider 菜单，然后选择 OpenID Connect。

3. 填写以下详情：

   • 集成名称 ：用于标识身份验证提供程序的名称。例如： Auth0 或 Google Workspace"。集成名称显示在登录页面中，以帮助用户选择正确的符号选项。
   • 回调模式 ：选择 HTTP POST （默认）。另外，还提供了名为 Fragment 的替代模式，它围绕单页应用程序(SPA)的限制。红帽只支持旧集成的 Fragment 模式，不建议将其用于新的集成。

   • issuer ：身份提供程序的根 URL，如 Google Workspace https://accounts.google.com。如需更多信息，请参阅您的身份提供程序文档。

     注意

     如果您使用 Red Hat Advanced Cluster Security for Kubernetes 版本 3.0.49 及更新版本，对于 Issuer 您可以：

     • 为 root URL 前缀有 https+insecure:// 以跳过 TLS 验证。这个配置是不安全的，红帽不推荐这样做。仅将其用于测试目的。
     • 指定查询字符串，如 ?key1=value1&key2=value2 和 root URL。Red Hat Advanced Cluster Security for Kubernetes 将 Issuer 的值附加到授权端点中。您可以使用它来自定义供应商的登录屏幕。例如，您可以使用 hd 参数在 PingFederate 中使用 pfidpadapterid 参数 优化 Google Workspace 登录屏幕。
   • 客户端 ID ：您配置的项目的 OIDC 客户端 ID。

4. 使用所选身份提供程序 访问 Red Hat Advanced Cluster Security for Kubernetes 的用户，选择最小访问角色。

   提示

   在完成设置时，将 Minimum access role 设置为 Admin。之后，您可以返回到 Access Control 页面，根据身份提供程序的用户元数据设置更定制的访问规则。

5. 点击 Save。

验证

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Access Control。
2. 选择 Auth Provider Rules 选项卡。
3. 在 Auth Providers 部分下，选择您要验证配置的身份验证提供程序。
4. 从 Auth Provider 部分标头选择 Test Login。Test Login 页面将在新的浏览器标签页中打开。

5. 使用您的凭据登录。

   • 成功后，Red Hat Advanced Cluster Security for Kubernetes 显示您为登录的凭证发送的用户 ID 和 用户属性。
   • 在失败时，Red Hat Advanced Cluster Security for Kubernetes 会显示一条信息来描述身份提供程序无法处理的响应的原因。
6. 关闭 Test Login browser 选项卡。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Access Control。
2. 打开 Add a Auth Provider 菜单，然后选择 OpenShift Auth。
3. 在 Name 字段中输入身份验证提供程序的名称。

4. 使用所选身份提供程序为访问 RHACS 的用户选择 最小访问权限角色。

   提示

   为安全起见，红帽建议在完成设置 时将最低访问角色 设置为 None。之后，您可以返回到 Access Control 页面，根据身份提供程序的用户元数据设置更定制的访问规则。

5. 可选： 要为访问 RHACS 的用户和组添加访问规则，点 Rules 部分中的 Add new rule，然后输入规则信息并点 Save。您需要用户或组的属性，以便您可以配置访问权限。

   提示

   组映射功能更强大，因为组通常与团队或权限集关联，而且需要修改频率少于用户。

   要在 OpenShift Container Platform 中获取用户信息，您可以使用以下方法之一：

   • 点 User Management → Users → < username &gt; → YAML。
   • 访问 k8s/cluster/user.openshift.io~v1~User/<username>/yaml 文件，并记录 名称、uid ( RHACS 中的userid ) 和组。
   • 使用 OpenShift Container Platform API 参考。

   以下配置示例描述了如何使用以下属性为 Admin 角色配置规则：

   • 名称 ：管理员
   • groups: ["system:authenticated", "system:authenticated:oauth", "myAdministratorsGroup"]
   • UID:12345-00aa-1234-123b-123fcdef1234

   您可以使用以下步骤之一为这个管理员角色添加规则：

   • 要为名称配置规则，请从 Key 下拉列表中选择 名称，在 Value 字段中输入 administrator，然后在 Role 下选择 Administrator。
   • 要为组配置规则，请从 Key 下拉列表中选择 组，在 Value 字段中输入 myAdministratorsGroup，然后选择 Admin 下的 Role。
   • 要为用户名配置规则，请从 Key 下拉列表中选择 userid，在 Value 字段中输入 12345-00aa-1234-123b-123fcdef1234，然后选择 Role 下的 Admin。