Alibaba Cloud Service Mesh:ASM セキュリティポリシーでの OIDC SSO の設定

操作手順

このトピックでは、Alibaba Cloud IDaaS の IdP を例として使用します。セルフマネージド OIDC サービスを使用する場合は、「ASM と Keycloak を統合してサービスメッシュ内のアプリケーションの SSO を有効化」をご参照ください。

1. ASM コンソールにログインします。左側のナビゲーションウィンドウで、[Service Mesh] > [メッシュ管理] を選択します。

2. [メッシュ管理] ページで、対象の ASM インスタンスの名前をクリックします。左側のナビゲーションウィンドウで、[メッシュセキュリティセンター] > [ASMSecurityPolicy] を選択します。

3. ASMSecurityPolicy ページで、Create をクリックします。

4. Create ASMSecurityPolicy ダイアログボックスで、OIDC Single Sign-On をクリックし、OK をクリックします。

5. OIDC Config ウィザードでパラメーターを設定し、Next をクリックします。

   次の表に、この例のパラメーターを示します。

   パラメーター	説明
   ASMSecurityPolicyName	名前を test-oidc に設定します。
   Redirect address	Use ingressgateway IP address または Customized Domain を選択できます。この例では、Use ingressgateway IP address を選択し、次に [http] と [ingressgateway] を選択します。
   Callback Address	リダイレクト URI です。
   OIDC Issuer URL	OIDC プロバイダーを識別および検証する URL です。
   Client ID	IdP によって提供されるクライアント ID です。
   Client Secret	IdP によって提供されるクライアントシークレットです。
   Cookie Secret	セキュアな Cookie のシードです。Base64 エンコーディングがサポートされています。
   Cookie Expire	Cookie の有効期間です。値が 0 の場合、Cookie は無期限になります。
   Cookie refresh interval	Cookie が更新される間隔です。値が 0 の場合、更新は無効になります。
   Scopes	取得するスコープを指定します。指定するスコープは、発行者によってサポートされている必要があります。 スコープの詳細については、「ASM と Alibaba Cloud IDaaS を統合してサービスメッシュ内のアプリケーションの SSO を有効化」をご参照ください。

   この例では、[Cookie の有効期限] を 3600 秒、[Cookie の更新間隔] を 600 秒に設定し、[スコープ] で [openid] と [phone] を選択します。

6. Workload and Match Rules ウィザードで、Add Workload Group をクリックします。New Workload Group ダイアログボックスでパラメーターを設定し、OK をクリックしてから、Submit をクリックします。

   次の表に、この例のパラメーターを示します。

   パラメーター	説明
   Workload Group Name	名前を test-policy に設定します。
   Workload List	デフォルトでは、前のステップで Redirect address に設定したゲートウェイが選択されており、変更できません。別のワークロードを選択するには、OIDC Config ウィザードに戻り、Redirect address の情報を変更します。 説明 OIDC Config ウィザードで Redirect address に Customized Domain を選択した場合は、次の手順を実行します。 New Workload Group ダイアログボックスで、Add Workload をクリックし、Gateway Scope を選択します。 Select workloads セクションで、対象のワークロードを選択し、 アイコンをクリックして selected エリアに移動し、OK をクリックします。
   Match Rule List	Match Mode には 2 つのオプションがあります。 Auth If Matched：指定されたルールに一致するリクエストに対して認証を要求します。 Bypass Auth If Matched：ルールに一致するリクエストは、認証なしでアクセスできます。 この例では、Match Mode を Auth If Matched に設定し、Match Mode を Custom Matching Rules に設定します。次に、Add Match Rule をクリックして、/static および /api で始まるパスに OIDC 認証を要求するルールを追加します。 ルール 1：Path を有効にし、値を /static/* に設定します。 ルール 2：Path を有効にし、値を /api/* に設定します。

   ポリシーが作成されると、Complete ステップに ASM セキュリティポリシーが正常に作成されました と表示されます。View YAML をクリックして作成されたリソースを表示するか、Complete をクリックして ASMSecurityPolicy ページに戻り、新しいセキュリティポリシーを表示できます。

7. OIDC SSO の設定を検証します。

   1. Web ブラウザーで、次の URL に順番にアクセスします。

      http://${GATEWAY_ADDRESS}/productpage
      http://${GATEWAY_ADDRESS}/api/v1/products/1
      http://${GATEWAY_ADDRESS}/static/jquery.min.js

      次の結果は、OIDC SSO の設定が機能していることを示しています。

      • /productpage で始まるパスへのリクエストは、認証なしでアクセスできます。BookInfo サンプルアプリケーションの productpage にアクセスすると、書籍 The Comedy of Errors の概要が表示されます。

      • /api および /static で始まるパスへのリクエストには認証が必要です。これらのパスにアクセスすると、Alibaba Cloud IDaaS のログインページにリダイレクトされます。[アカウント、電話番号、またはメールアドレス] と [パスワード] のテキストボックスに認証情報を入力し、[ログイン] をクリックして認証する必要があります。

   2. OIDC SSO の設定を変更します。

      1. ASMSecurityPolicy ページで、対象の OIDC セキュリティポリシーを見つけ、Operator 列の edit をクリックします。

      2. OIDC Config ウィザードで、Next をクリックします。

      3. Workload and Match Rules ウィザードで、対象のワークロードグループを見つけ、Operator 列の edit をクリックします。設定を変更し、OK をクリックしてから、Submit をクリックします。

         次の表に、この例のパラメーターを示します。

         パラメーター	説明
         Match Mode	Bypass Auth If Matched を選択します。
         Matching Rules	Add Match Rule をクリックして、次のルールを設定します。この設定により、/productpage および /static で始まるパスへのリクエストが OIDC 認証をバイパスできるようになります。 ルール 1：Path を有効にし、値を /productpage に設定します。 ルール 2：Path を有効にし、値を /static/* に設定します。

   3. 変更を検証するには、ブラウザーで新しいシークレットウィンドウを開き、次の URL にアクセスします。

      http://${GATEWAY_ADDRESS}/productpage
      http://${GATEWAY_ADDRESS}/api/v1/products/1
      http://${GATEWAY_ADDRESS}/static/jquery.min.js

      次の結果は、変更された設定が機能していることを示しています。

      • /productpage および /static で始まるパスへのリクエストは、認証なしでアクセスできます。

      • /api で始まるパスへのリクエストには認証が必要です。

関連ドキュメント

• API アクセス、キーのローテーション、さまざまな OIDC モードに対する IDaaS のサポート、IDaaS およびアプリケーション側の設定など、OIDC アプリケーション設定の詳細については、「基本設定」、「シングルサインオンの一般的な手順」、「OIDC SSO の設定」、および「OIDC id_token 拡張値の仕様」をご参照ください。

• IDaaS SSO でアプリケーションにログインした後、アプリケーションからグローバルログアウトを開始して、メインの IDaaS セッションを終了できます。このプロセスはシングルログアウト (SLO) と呼ばれます。詳細については、「シングルログアウト (SLO)」をご参照ください。