ขั้นตอนที่ 4 - การยืนยันตัวตน

หมายเหตุ: หน้านี้มีไว้สำหรับการผสานการเข้าสู่ระบบ SSO ของ Halo Portal กับ Azure Entra ID.

ข้อกำหนดเบื้องต้น

หากต้องการใช้ SSO ให้เลือกโดเมนสำหรับ Portal.
ระบุ tenant_id สำหรับ AWS tenant ที่ต้องการ.
ตรวจสอบให้แน่ใจว่าได้ติดตั้ง Azure CLI บนเครื่องแล้ว และเข้าสู่ระบบโดยใช้ az login.
Run the attached shell script to create 3 app registrations and enterprise applications. Make a note of the outputs from the script which will be used in the next steps:
- cdrplatform-api-access
- cdrplatform-portal-access
- cdrplatform-portal-client

bash create-azure-app-registrations.sh cleanroom.glasswall.com

การติดตั้งการยืนยันตัวตนของ Portal

ในการตั้งค่า SSO กับ AWS ในพอร์ทัลของ Glasswall Halo:

SSH ไปยัง VM เพื่อรันคำสั่งด้านล่าง.

หมายเหตุ: helm chart ของ cdrplatform-portal และ cdrplatform-portal-access อยู่ในไดเรกทอรี /home/glasswall

ค้นหา image tag ของ portal ใน cluster และตั้งค่าเป็นตัวแปร image_tag

k get deploy portal  -o json | jq -r '.spec.template.spec.containers[0].image' | cut -d":" -f2

ปรับใช้ portal ด้วยการตั้งค่า AWS IAM โดยตรวจสอบให้แน่ใจว่าได้กำหนดค่าที่ถูกต้องให้กับตัวแปรด้านล่าง

tenant_id=""
portal_domain=""
portal_client_id=""
portal_access_uri=""
image_tag=""
helm upgrade --install cdrplatform-portal cdrplatform-portal \
  --set image.repository=glasswallacr.azurecr.io/cdrplatform-portal \
  --set image.tag="${image_tag:?}" \
  --set image.pullPolicy=IfNotPresent \
  --set ingress.tls.enabled=true \
  --set ingress.tls.domain=${portal_domain:?} \
  --set ingress.tls.secretName=tls-secret \
  --set cloud_provider=local \
  --set resources.requests.cpu=500m \
  --set resources.requests.memory=500Mi \
  --set resources.limits.cpu=500m \
  --set resources.limits.memory=500Mi \
  --set securityContext.seccompProfile.type=RuntimeDefault \
  --set configuration.BackendScope="${portal_access_uri}/PortalUserScope" \
  --set configuration.BackendUrl="https://${portal_domain}" \
  --set configuration.EnabledPages="SystemSettings\,PolicySettings" \
  --set configuration.OIDC.ProviderOptions.Authority="https://login.microsoftonline.com/${tenant_id:?}/v2.0" \
  --set configuration.OIDC.ProviderOptions.RedirectUri="https://${portal_domain}/authentication/login-callback" \
  --set configuration.OIDC.ProviderOptions.ClientId="${portal_client_id}" \
  --set configuration.OIDC.ProviderOptions.PostLogoutRedirectUri="https://${portal_domain}/authentication/logout-callback" \
  --atomic

ค้นหา image tag ของ portal-access ใน cluster และตั้งค่าเป็นตัวแปร image_tag

k get deploy portal-access  -o json | jq -r '.spec.template.spec.containers[0].image' | cut -d":" -f2

ปรับใช้ portal access ด้วยการกำหนดค่า Azure AD:

tenant_id=""
portal_domain=""
portal_access_uri=""
image_tag=""
helm upgrade --install cdrplatform-portal-access cdrplatform-portal-access \
  --set image.repository=glasswallacr.azurecr.io/cdrplatform-portal-access \
  --set image.tag="${image_tag:?}" \
  --set image.pullPolicy=IfNotPresent \
  --set ingress.tls.enabled=true \
  --set ingress.tls.domain=${portal_domain:?} \
  --set ingress.tls.secretName=tls-secret \
  --set cloud_provider=local \
  --set resources.requests.cpu=1 \
  --set resources.requests.memory=2Gi \
  --set resources.limits.cpu=1 \
  --set resources.limits.memory=2Gi \
  --set securityContext.seccompProfile.type=RuntimeDefault \
  --set configuration.AuthenticationScheme=Bearer \
  --set configuration.Authentication__Schemes__Bearer__ValidAudiences__0="${portal_access_uri}" \
  --set configuration.Authentication__Schemes__Bearer__ValidIssuer=https://sts.windows.net/${tenant_id:?}/ \
  --set configuration.Authentication__Schemes__Bearer__Authority=https://login.microsoftonline.com/${tenant_id}/v2.0/ \
  --atomic

เปิดโดเมนของ portal ในเบราว์เซอร์ แล้วคลิก Login with SSO ที่มุมล่างซ้าย
เข้าสู่ระบบผ่าน Azure AD และให้สิทธิ์แอปสำหรับองค์กร

การยืนยันตัวตน API

สามารถกำหนดค่าการยืนยันตัวตน API ได้ 2 วิธี:

การยืนยันตัวตนแบบ Basic
การยืนยันตัวตนแบบ Bearer

การติดตั้งการยืนยันตัวตนแบบ Basic

SSH ไปยัง VM เพื่อรันคำสั่งด้านล่าง

หมายเหตุ: Helm chart cdrplatform-api-access อยู่ในไดเรกทอรี /home/glasswall

ตั้งค่า Username และ Password ในคำสั่งด้านล่าง ใช้เครื่องหมายจุลภาคเพื่อคั่นรหัสผ่านหลายรายการ

bash add_secrets.sh organisation0-id <username>
bash add_secrets.sh organisation0-tokens <password>

ปรับใช้ API-access ด้วย basic authentication

image_tag=$(k get deploy api-access  -o json | jq -r '.spec.template.spec.containers[0].image' | cut -d":" -f2)
enable_tls="true" OR "false"
api_domain="" # ignore if enable_tls is false
helm upgrade --install cdrplatform-api-access cdrplatform-api-access \
  --set image.tag="${image_tag:?}" \
  --set image.pullPolicy=IfNotPresent \
  --set image.repository="glasswallacr.azurecr.io/cdrplatform-api-access" \
  --set ingress.tls.enabled="${enable_tls:?}" \
  --set ingress.tls.domain="${api_domain}" \
  --set configuration.CLIENTS__Policy__BaseAddress="http://policy-api:8080" \
  --set configuration.CLIENTS__License__BaseAddress="http://license-management.license-management.svc.cluster.local:8080" \
  --set configuration.CLIENTS__AsyncApi__BaseAddress="http://async-api:8080" \
  --set configuration.AuthenticationScheme="Basic" \
  --set cloud_provider=local \
  --set resources.requests.cpu=1 \
  --set resources.requests.memory=3Gi \
  --set resources.limits.cpu=1 \
  --set resources.limits.memory=3Gi \
  --set securityContext.seccompProfile.type=RuntimeDefault \
  --atomic

การติดตั้ง Bearer authentication

ระบุ tenant_id สำหรับ Azure tenant ที่ต้องการ
SSH ไปยัง VM เพื่อรันคำสั่งด้านล่าง

หมายเหตุ: Helm chart cdrplatform-API-access ควรอยู่ในไดเรกทอรี /home/glasswall

ปรับใช้ API-access ด้วยการกำหนดค่า Azure AD

tenant_id=""
api_valid_audience="api://cdrplatform-api-access"
image_tag=$(k get deploy api-access  -o json | jq -r '.spec.template.spec.containers[0].image' | cut -d":" -f2)
enable_tls="true" OR "false"
api_domain="" # ignore if enable_tls is false
helm upgrade --install cdrplatform-api-access cdrplatform-api-access \
  --set image.tag="${image_tag}" \
  --set image.pullPolicy=IfNotPresent \
  --set image.repository="glasswallacr.azurecr.io/cdrplatform-api-access" \
  --set ingress.tls.enabled="${enable_tls}" \
  --set ingress.tls.domain="${api_domain}" \
  --set configuration.CLIENTS__Policy__BaseAddress="http://policy-api:8080" \
  --set configuration.CLIENTS__License__BaseAddress="http://license-management.license-management.svc.cluster.local:8080" \
  --set configuration.CLIENTS__AsyncApi__BaseAddress="http://async-api:8080" \
  --set configuration.AuthenticationScheme="Bearer" \
  --set configuration.Authentication__Schemes__Bearer__ValidAudiences__0="${api_valid_audience}" \
  --set configuration.Authentication__Schemes__Bearer__ValidIssuer=https://sts.windows.net/${tenant_id}/ \
  --set configuration.Authentication__Schemes__Bearer__Authority=https://login.microsoftonline.com/${tenant_id}/v2.0/ \
  --set cloud_provider=local \
  --set resources.requests.cpu=1 \
  --set resources.requests.memory=3Gi \
  --set resources.limits.cpu=1 \
  --set resources.limits.memory=3Gi \
  --set securityContext.seccompProfile.type=RuntimeDefault \
  --atomic

ขอแสดงความยินดี คุณได้ปรับใช้ Glasswall Halo สำเร็จแล้ว!

ข้อกำหนดเบื้องต้น​

การติดตั้งการยืนยันตัวตนของ Portal​

การยืนยันตัวตน API​

การติดตั้งการยืนยันตัวตนแบบ Basic​

การติดตั้ง Bearer authentication​

ข้อกำหนดเบื้องต้น

การติดตั้งการยืนยันตัวตนของ Portal

การยืนยันตัวตน API

การติดตั้งการยืนยันตัวตนแบบ Basic

การติดตั้ง Bearer authentication