Wykonaj wymagane zadania po instalacji, aby przygotować IBM Bob dla użytkowników końcowych, w tym certyfikaty TLS, federację LDAP, dostęp użytkowników i dystrybucję punktów końcowych.

Po zainstalowaniu samodzielnie wdrożonego Boba wykonaj następujące zadania administracyjne przed wdrożeniem użytkowników.

Konfiguracja federacji IDP i LDAP

Dzięki federacji LDAP możesz logować się do Bob przy użyciu istniejących danych uwierzytelniających LDAP lub Active Directory. Skonfiguruj federację LDAP tylko wtedy, gdy twoja organizacja korzysta z usługi katalogowej do zarządzania tożsamością. Jeśli federacja LDAP nie jest wymagana, utwórz użytkowników bezpośrednio w Keycloak.

Uzyskaj wymagane wartości konfiguracyjne LDAP lub Active Directory, w tym:

Adres URL serwera LDAP
Podstawy wyszukiwania użytkowników i grup
Informacje o koncie wiązania (jeśli dotyczy)
Certyfikat CA dla połączeń LDAPS używających prywatnego urzędu certyfikacji

Utwórz plik konfiguracyjny IDP z dostarczonego szablonu:

cp config-idp-template.yaml my-idp.yaml

Zaktualizuj plik o domeny e-mail, adresy e-mail administratorów oraz szczegóły środowiska LDAP lub Active Directory.

Zastosuj konfigurację IDP:

./bobctl configure-idp --config my-idp.yaml

Parametr	Opis
`--config`	Określa plik konfiguracyjny IDP.
`--dry-run`	Weryfikuje konfigurację bez stosowania zmian.

Zweryfikuj konfigurację IDP.

Wyświetl status IDP:

oc get bobidp -n <instance-namespace>

Wyświetl szczegółowe informacje o uzgadnianiu:

oc get bobidp bob-idp -n <instance-namespace> -o yaml

Sprawdź, czy następujące warunki raportują pomyślny status:

Warunek	Opis
`Ready`	Wszystkie skonfigurowane domeny, przypisania administratorów i dostawcy LDAP zostali pomyślnie uzgodnieni.
`LDAPRegistered`	Dostawca LDAP został zarejestrowany w Keycloak.
`LDAPReachable`	Serwer LDAP jest osiągalny z klastra.
`LDAPAuthenticated`	Uwierzytelnianie LDAP zakończyło się pomyślnie.
`LDAPUserSyncSucceeded`	Wstępna synchronizacja użytkowników zakończyła się pomyślnie. Obecne tylko gdy `userSync.enabled: true`.

Domyślnie bobctl czeka do 600 sekund na zakończenie uzgadniania. Aby zmienić limit czasu:

BOB_IDP_WAIT_TIMEOUT=900 ./bobctl configure-idp --config my-idp.yaml

Możesz skonfigurować wielu dostawców LDAP w jednym pliku konfiguracyjnym, definiując wiele wpisów na liście ldaps. Oddzielne wywołanie bobctl configure-idp nie jest wymagane dla każdego dostawcy.

Pełne szczegóły konfiguracji LDAP można znaleźć w Integracja LDAP.

Zarządzanie certyfikatami

Bob udostępnia usługi przez TLS. Stacje robocze klientów muszą ufać urzędowi certyfikacji (CA), który wydał certyfikaty klastra.

Możesz użyć jednego z następujących podejść do certyfikatów:

Skonfiguruj certyfikat przedsiębiorstwa lub publiczny (zalecane)

Wygeneruj certyfikaty przy użyciu OpenSSL

Użyj domyślnego certyfikatu z podpisem własnym

Uwaga:

Błędy połączenia TLS w Bob IDE lub bob-shell są zazwyczaj spowodowane niezaufanym certyfikatem CA na stacji roboczej klienta.

Pełne instrukcje można znaleźć w Certyfikatach TLS.

Konfiguracja dostępu użytkowników

Instalacja samodzielnie wdrożonego Boba obejmuje dostawcę tożsamości Keycloak. Zanim użytkownicy będą mogli uzyskać dostęp do platformy, skonfiguruj jedną z następujących metod uwierzytelniania:

Federacja LDAP lub Active Directory: jeśli skonfigurowałeś federację LDAP przy użyciu bobctl configure-idp, użytkownicy mogą uwierzytelniać się przy użyciu istniejących danych uwierzytelniających przedsiębiorstwa. Zobacz Integracja LDAP.

Bezpośredni użytkownicy Keycloak: twórz użytkowników i zarządzaj nimi bezpośrednio w Keycloak. To podejście jest odpowiednie dla środowisk ewaluacyjnych, które nie korzystają z integracji LDAP.

Pobieranie i udostępnianie adresu URL punktu końcowego

Udostępnij użytkownikom informacje o punkcie końcowym wymagane do połączenia się z Bob.

Pobierz nazwę hosta trasy bramy Bob:

oc get route \
  -n <instance-namespace> \
  -l app.kubernetes.io/component=gateway \
  -o jsonpath='{.items[0].spec.host}'

Przykładowe dane wyjściowe:

api.bob.example.com

Utwórz adres URL punktu końcowego:

https://api.bob.example.com

Jeśli trasa nie jest dostępna, sprawdź, czy instancja Bob jest gotowa:

oc get bob -n <instance-namespace>

Potwierdź, że status to Ready, a następnie udostępnij użytkownikom następujące informacje:

Element	Wymagany
Adres URL punktu końcowego Bob	Tak
Certyfikat CA (`bob-ca.crt`)	Tylko gdy używany jest certyfikat z podpisem własnym lub prywatny CA
Dane uwierzytelniające	Tak

Zadania po instalacji

Konfiguracja federacji IDP i LDAP

Zarządzanie certyfikatami

Konfiguracja dostępu użytkowników

Pobieranie i udostępnianie adresu URL punktu końcowego

Na tej stronie