配置 IDP 和 LDAP 联合

通过 LDAP 联合，你可以使用现有的 LDAP 或 Active Directory 凭证登录 Bob。仅当你的组织使用目录服务进行身份管理时才配置 LDAP 联合。如果不需要 LDAP 联合，请直接在 Keycloak 中创建用户。

获取所需的 LDAP 或 Active Directory 配置值，包括：

从提供的模板创建 IDP 配置文件：

cp config-idp-template.yaml my-idp.yaml

使用你的电子邮件域、管理员电子邮件以及 LDAP 或 Active Directory 环境详细信息更新该文件。

应用 IDP 配置：

./bobctl configure-idp --config my-idp.yaml

参数	描述
`--config`	指定 IDP 配置文件。
`--dry-run`	在不应用更改的情况下验证配置。

验证 IDP 配置。

查看 IDP 状态：

oc get bobidp -n <instance-namespace>

查看详细的协调信息：

oc get bobidp bob-idp -n <instance-namespace> -o yaml

验证以下条件报告成功状态：

条件	描述
`Ready`	所有已配置的域、管理员分配和 LDAP 提供商均已成功协调。
`LDAPRegistered`	LDAP 提供商已在 Keycloak 中注册。
`LDAPReachable`	LDAP 服务器可从集群访问。
`LDAPAuthenticated`	LDAP 身份验证成功完成。
`LDAPUserSyncSucceeded`	初始用户同步成功完成。仅在 `userSync.enabled: true` 时出现。

默认情况下，bobctl 最长等待 600 秒以完成协调。如需更改超时时间：

BOB_IDP_WAIT_TIMEOUT=900 ./bobctl configure-idp --config my-idp.yaml

你可以在一个配置文件中通过在 ldaps 列表中定义多个条目来配置多个 LDAP 提供商。每个提供商无需单独调用 bobctl configure-idp。

有关完整的 LDAP 配置详情，请参阅 LDAP 集成。

管理证书

Bob 通过 TLS 公开服务。客户端工作站必须信任颁发集群证书的证书颁发机构（CA）。

你可以使用以下证书方案之一：

配置企业或公共证书（推荐）

使用 OpenSSL 生成证书

使用默认的自签名证书

注意：

Bob IDE 或 bob-shell 中的 TLS 连接错误通常是由客户端工作站上不受信任的 CA 证书引起的。

有关完整说明，请参阅 TLS 证书。

Bob 的本地部署包含一个 Keycloak 身份提供商。在用户可以访问平台之前，配置以下身份验证方法之一：

LDAP 或 Active Directory 联合：如果已使用 bobctl configure-idp 配置了 LDAP 联合，用户可以使用其现有的企业凭证进行身份验证。请参阅 LDAP 集成。

直接 Keycloak 用户：直接在 Keycloak 中创建和管理用户。此方法适用于不使用 LDAP 集成的评估环境。

向用户提供连接到 Bob 所需的端点信息。

获取 Bob 网关路由主机名：

oc get route \
  -n <instance-namespace> \
  -l app.kubernetes.io/component=gateway \
  -o jsonpath='{.items[0].spec.host}'

示例输出：

api.bob.example.com

构建端点 URL：

https://api.bob.example.com

如果没有可用的路由，请验证 Bob 实例是否已就绪：

oc get bob -n <instance-namespace>

确认状态为 Ready，然后向用户提供以下信息：