5.9. 使用 TOTP 配置红帽单点登录身份验证

1. 用户使用卫星 Web UI 向卫星进行身份验证。
2. 用户使用 Satellite CLI 向卫星进行身份验证。

流程

1. 在 Satellite 服务器中安装以下软件包：

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install

2. 将 Satellite 注册到 Red Hat Single Sign-On 作为客户端。请注意，您使用 Web UI 和 CLI 登录的注册过程会有所不同。您可以将两个客户端 Satellite 客户端注册到 Red Hat Single Sign-On，以便能够从 Web UI 和 CLI 登录 Satellite。

   • 如果您希望用户使用 Web UI 向 Satellite 进行身份验证，请按如下所示创建客户端：

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     出现提示时，输入管理帐户的密码。此命令在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

     然后，将 Satellite 配置为使用 Red Hat Single Sign-On 作为身份验证源：

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请按如下所示创建客户端：

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     出现提示时，输入管理帐户的密码。此命令在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

3. 重启 httpd 服务：

   # systemctl restart httpd

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Clients，再单击 Satellite 客户端。

2. 配置访问类型：

   • 如果您希望用户使用 Satellite Web UI 向 Satellite 进行身份验证，请从 Access Type 列表中选择 confidential。
   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请从 Access Type 列表中选择 public。

3. 在 Valid redirect URI 字段中，添加一个有效的重定向 URI。

   • 如果您希望用户使用 Satellite Web UI 向 Satellite 进行身份验证，请在现有 URI 下的空白字段中输入 URI，格式为 https://satellite.example.com/users/extlogin。请注意，您必须在 Satellite FQDN 后添加字符串 /users/extlogin。

     完成此步骤后，使用 Satellite Web UI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请在现有 URI 下的空白字段中输入 urn:ietf:wg:oauth:2.0:oob。

     完成此步骤后，使用 CLI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. 点击 Save。
5. 单击 Mappers 选项卡，再单击 Create 以添加 audience mapper。
6. 在 Name 字段中输入 audience mapper 的名称。
7. 从 映射类型列表中， 选择 Audience。
8. 从 Included Client Audience 列表中，选择 Satellite 客户端。
9. 点击 Save。
10. 单击 Create 以添加组映射程序，以便您可以根据组成员资格在 Satellite 中指定授权。
11. 在 Name 字段中输入组映射程序的名称。
12. 从 映射类型列表中，选择 Group Membership。
13. 在 Token Claim Name 字段中输入组。
14. 将 Full group path 设置设置为 OFF。
15. 点击 Save。

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Satellite 域。
2. 导航到 Authentication，然后单击 OTP Policy 选项卡。
3. 确保 支持的 Applications 字段包含 FreeOTP 或 Google Authenticator。
4. 配置 OTP 设置以满足您的要求。
5. 可选：如果要将 TOTP 身份验证用作所有用户的默认身份验证方法，请点 Flows 选项卡，以及 OTP Form 设置右侧，请选择 REQUIRED。
6. 点 Required Actions 选项卡。
7. 在 Configure OTP 行右侧，选中 Default Action 复选框。

流程

1. 登录 Satellite，Satellite 将您重定向到 Red Hat Single Sign-On 登录屏幕。
2. 输入您的用户名和密码，然后点击 Log In。
3. 首先尝试登录，Red Hat Single Sign-On 请求您通过扫描 barcode 并输入显示的 pin 来配置客户端。
4. 配置客户端并输入有效的 PIN 后，Red Hat Single Sign-On 会将您重定向到 Satellite 并登录到 Satellite。

流程

1. 要使用代码授权类型向 Satellite CLI 进行身份验证，请输入以下命令：

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   该命令提示您输入成功代码。

2. 若要检索成功代码，请导航到命令返回并提供所需信息的 URL。
3. 复制 Web UI 返回的成功代码。
4. 在 hammer auth login oauth 的命令提示符中，输入成功代码来向 Satellite CLI 进行身份验证。

流程

1. 在 Satellite Web UI 中，导航到 Administer > User Groups，然后点 Create User Group 按钮。
2. 在 Name 字段中输入用户组的名称。名称不应与 Active Directory 中的名称不同。
3. 不要将用户和用户组添加到右列。单击 Roles 选项卡。
4. 选中 Administer 复选框。
5. 点 External Groups 选项卡。
6. 单击 Add external user group。
7. 在 Name 字段中输入 Active Directory 组的名称。
8. 从列表中，选择 EXTERNAL。