13.5. 启用 PKI 身份验证

如果您使用企业证书颁发机构(CA)进行身份验证，您可以配置 Red Hat Advanced Cluster Security for Kubernetes(RHACS)来使用其个人证书来验证用户。

配置 PKI 身份验证后，用户和 API 客户端可以使用其个人证书登录。没有证书的用户仍然可以使用其他验证选项，包括 API 令牌、本地管理员密码或其他身份验证供应商。PKI 身份验证在与 Web UI、gRPC 和 REST API 相同的端口号上可用。

当您配置 PKI 身份验证时，Red Hat Advanced Cluster Security for Kubernetes 将相同的端口用于 PKI、Web UI、gRPC、其他单点登录(SSO)供应商和 REST API。您也可以使用 YAML 配置文件配置和公开端点，为 PKI 身份验证配置单独的端口。

13.5.1. 使用 RHACS 门户配置 PKI 身份验证

您可以使用 RHACS 门户配置 PKI 身份验证。

流程

  1. 在 RHACS 门户网站中，导航至 Platform Configuration → Access Control。
  2. 单击 Add an Auth Provider，然后选择 User Certificates。
  3. 在 Name 框中，为此身份验证供应商指定名称。
  4. 将 PEM 格式的 root CA 证书粘贴到文本框中。
  5. 可选：更改 最小访问角色，并根据属性添加角色映射。
  6. 点击 Save。

13.5.2. 使用 roxctl CLI 配置 PKI 身份验证

您可以使用 roxctl CLI 配置 PKI 身份验证。

流程

  • 运行以下命令： 

    $ roxctl -e <hostname>:<port_number> central userpki create -c <ca_certificate_file> -r <default_role_name> <provider_name>

13.5.3. 更新身份验证密钥和证书

您可以使用 RHACS 门户更新身份验证密钥和证书。

流程

  1. 创建新的身份验证供应商。
  2. 将角色映射从旧身份验证供应商复制到新的身份验证提供程序。
  3. 使用旧的 root CA 密钥重命名或删除旧的身份验证提供程序。

13.5.4. 使用客户端证书登录

配置 PKI 身份验证后，用户在 RHACS 门户登录页面上看到证书提示。提示仅显示在用户的系统中安装由配置的根 CA 信任的客户端证书。

使用本节中描述的步骤使用客户端证书登录。

流程

  1. 打开 RHACS 门户。
  2. 在浏览器提示符中选择证书。
  3. 在登录页面中，选择身份验证提供程序名称选项，以使用证书登录。如果您不想使用证书登录，也可以使用管理员密码或其他登录方法登录。
注意

使用客户端证书登录到 RHACS 门户后，除非您重新启动浏览器，否则无法使用其他证书登录。