設定 IDP 和 LDAP 聯合

透過 LDAP 聯合，你可以使用現有的 LDAP 或 Active Directory 憑證登入 Bob。僅當你的組織使用目錄服務進行身分管理時才設定 LDAP 聯合。如果不需要 LDAP 聯合，請直接在 Keycloak 中建立使用者。

取得所需的 LDAP 或 Active Directory 設定值，包括：

從提供的範本建立 IDP 設定檔：

cp config-idp-template.yaml my-idp.yaml

使用你的電子郵件網域、管理員電子郵件，以及 LDAP 或 Active Directory 環境詳細資訊更新該檔案。

套用 IDP 設定：

./bobctl configure-idp --config my-idp.yaml

參數	描述
`--config`	指定 IDP 設定檔。
`--dry-run`	在不套用變更的情況下驗證設定。

驗證 IDP 設定。

檢視 IDP 狀態：

oc get bobidp -n <instance-namespace>

檢視詳細的協調資訊：

oc get bobidp bob-idp -n <instance-namespace> -o yaml

驗證以下條件報告成功狀態：

條件	描述
`Ready`	所有已設定的網域、管理員指派和 LDAP 提供者均已成功協調。
`LDAPRegistered`	LDAP 提供者已在 Keycloak 中註冊。
`LDAPReachable`	LDAP 伺服器可從叢集存取。
`LDAPAuthenticated`	LDAP 身分驗證成功完成。
`LDAPUserSyncSucceeded`	初始使用者同步成功完成。僅在 `userSync.enabled: true` 時出現。

預設情況下，bobctl 等待協調完成的時間最多為 600 秒。若要變更逾時設定：

BOB_IDP_WAIT_TIMEOUT=900 ./bobctl configure-idp --config my-idp.yaml

你可以在單一設定檔中定義多個 LDAP 提供者，方法是在 ldaps 清單中加入多個項目。每個提供者不需要各別執行 bobctl configure-idp。

如需完整的 LDAP 設定詳情，請參閱 LDAP 整合。

管理憑證

Bob 透過 TLS 公開服務。用戶端工作站必須信任頒發叢集憑證的憑證授權單位（CA）。

你可以使用以下憑證方案之一：

設定企業或公共憑證（建議）

使用 OpenSSL 產生憑證

使用預設的自簽章憑證

注意：

Bob IDE 或 bob-shell 中的 TLS 連線錯誤通常是由用戶端工作站上不受信任的 CA 憑證造成的。

如需完整說明，請參閱 TLS 憑證。

Bob 的本地部署包含一個 Keycloak 身分提供者。在使用者可以存取平台之前，設定以下身分驗證方法之一：

LDAP 或 Active Directory 聯合：如果你已使用 bobctl configure-idp 設定了 LDAP 聯合，使用者可以使用其現有的企業憑證進行身分驗證。請參閱 LDAP 整合。

直接 Keycloak 使用者：直接在 Keycloak 中建立和管理使用者。此方法適用於不使用 LDAP 整合的評估環境。

向使用者提供連線到 Bob 所需的端點資訊。

取得 Bob 閘道路由主機名稱：

oc get route \
  -n <instance-namespace> \
  -l app.kubernetes.io/component=gateway \
  -o jsonpath='{.items[0].spec.host}'

範例輸出：

api.bob.example.com

建構端點 URL：

https://api.bob.example.com

如果沒有可用的路由，請驗證 Bob 執行個體是否已就緒：

oc get bob -n <instance-namespace>

確認狀態為 Ready，然後向使用者提供以下資訊：