OpenShift 文档正在迁移，很快将只在 docs.redhat.com（所有 Red Hat 产品文档的首页）提供。立即体验 新的文档体验。
  1. 文档
    2. history bug_report picture_as_pdf
×

身份验证 [config.openshift.io/v1]

描述

身份验证指定集群范围的身份验证设置（如OAuth和webhook令牌身份验证器）。实例的规范名称为cluster。兼容性级别1：在主要版本内稳定至少12个月或3个次要版本（以较长者为准）。

类型

对象

必需

  • spec

规范

属性 类型 描述

apiVersion

字符串

APIVersion定义了此对象表示的版本化模式。服务器应将识别的模式转换为最新的内部值，并可能拒绝无法识别的值。更多信息：https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources

kind

字符串

Kind是一个字符串值，表示此对象表示的REST资源。服务器可以从客户端提交请求的端点推断出这一点。无法更新。使用驼峰式大小写。更多信息：https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds

metadata

ObjectMeta

标准对象的元数据。更多信息：https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#metadata

spec

对象

spec包含用户可设置的配置值

status

对象

status包含来自集群的观察值。它们可能不会被覆盖。

.spec

描述

spec包含用户可设置的配置值

类型

对象

属性 类型 描述

oauthMetadata

对象

oauthMetadata包含外部OAuth服务器的OAuth 2.0授权服务器元数据的发现端点数据。此发现文档可以从其服务位置查看：oc get --raw '/.well-known/oauth-authorization-server' 更多详情，请参阅IETF草案：https://tools.ietf.org/html/draft-ietf-oauth-discovery-04#section-2 如果oauthMetadata.name非空，则此值优先于status中存储的任何元数据引用。键“oauthMetadata”用于定位数据。如果指定但未找到配置映射或预期键，则不会提供任何元数据。如果指定的元数据无效，则不会提供任何元数据。此配置映射的命名空间为openshift-config。

serviceAccountIssuer

字符串

serviceAccountIssuer是绑定服务帐户令牌发行者的标识符。默认为https://kubernetes.default.svc 警告：更新此字段不会立即使所有具有先前发行者值的绑定令牌失效。相反，由先前服务帐户发行者发行的令牌将继续被信任一段时间（目前设置为24小时）。此时间段可能会随着时间的推移而发生变化。这允许内部组件转换以使用新的服务帐户发行者，而不会中断服务。

type

字符串

type 字段标识集群管理的、面向用户的身份验证模式。具体来说，它管理响应登录尝试的组件。默认值为 IntegratedOAuth。

webhookTokenAuthenticator

对象

webhookTokenAuthenticator 配置远程令牌审核器。这些远程身份验证 Webhook 可用于通过 tokenreviews.authentication.k8s.io REST API 验证 Bearer 令牌。这对于识别由外部身份验证服务提供的 Bearer 令牌是必需的。只有在“Type”设置为“None”时才能设置此项。

webhookTokenAuthenticators

数组

webhookTokenAuthenticators 已弃用，设置它无效。

webhookTokenAuthenticators[]

对象

deprecatedWebhookTokenAuthenticator 包含远程令牌身份验证器所需的配置选项。它与 WebhookTokenAuthenticator 相同，但缺少 KubeConfig 字段的“required”验证。

.spec.oauthMetadata

描述

oauthMetadata包含外部OAuth服务器的OAuth 2.0授权服务器元数据的发现端点数据。此发现文档可以从其服务位置查看：oc get --raw '/.well-known/oauth-authorization-server' 更多详情，请参阅IETF草案：https://tools.ietf.org/html/draft-ietf-oauth-discovery-04#section-2 如果oauthMetadata.name非空，则此值优先于status中存储的任何元数据引用。键“oauthMetadata”用于定位数据。如果指定但未找到配置映射或预期键，则不会提供任何元数据。如果指定的元数据无效，则不会提供任何元数据。此配置映射的命名空间为openshift-config。

类型

对象

必需

  • name

属性 类型 描述

name

字符串

name 是引用的 ConfigMap 的 metadata.name

.spec.webhookTokenAuthenticator

描述

webhookTokenAuthenticator 配置远程令牌审核器。这些远程身份验证 Webhook 可用于通过 tokenreviews.authentication.k8s.io REST API 验证 Bearer 令牌。这对于识别由外部身份验证服务提供的 Bearer 令牌是必需的。只有在“Type”设置为“None”时才能设置此项。

类型

对象

必需

  • kubeConfig

属性 类型 描述

kubeConfig

对象

kubeConfig 引用一个包含 kube config 文件数据的 Secret，该文件描述如何访问远程 Webhook 服务。引用的 Secret 的命名空间是 openshift-config。更多详情，请参见：https://kubernetes.ac.cn/docs/reference/access-authn-authz/authentication/#webhook-token-authentication 使用键“kubeConfig”查找数据。如果找不到 Secret 或预期的键，则不会使用该 Webhook。如果指定的 kube config 数据无效，则不会使用该 Webhook。

.spec.webhookTokenAuthenticator.kubeConfig

描述

kubeConfig 引用一个包含 kube config 文件数据的 Secret，该文件描述如何访问远程 Webhook 服务。引用的 Secret 的命名空间是 openshift-config。更多详情，请参见：https://kubernetes.ac.cn/docs/reference/access-authn-authz/authentication/#webhook-token-authentication 使用键“kubeConfig”查找数据。如果找不到 Secret 或预期的键，则不会使用该 Webhook。如果指定的 kube config 数据无效，则不会使用该 Webhook。

类型

对象

必需

  • name

属性 类型 描述

name

字符串

name 是引用的 Secret 的 metadata.name

.spec.webhookTokenAuthenticators

描述

webhookTokenAuthenticators 已弃用，设置它无效。

类型

数组

.spec.webhookTokenAuthenticators[]

描述

deprecatedWebhookTokenAuthenticator 包含远程令牌身份验证器所需的配置选项。它与 WebhookTokenAuthenticator 相同，但缺少 KubeConfig 字段的“required”验证。

类型

对象

属性 类型 描述

kubeConfig

对象

kubeConfig 包含 kube config 文件数据，该文件描述如何访问远程 Webhook 服务。更多详情，请参见：https://kubernetes.ac.cn/docs/reference/access-authn-authz/authentication/#webhook-token-authentication 使用键“kubeConfig”查找数据。如果找不到 Secret 或预期的键，则不会使用该 Webhook。如果指定的 kube config 数据无效，则不会使用该 Webhook。此 Secret 的命名空间由使用点确定。

.spec.webhookTokenAuthenticators[].kubeConfig

描述

kubeConfig 包含 kube config 文件数据，该文件描述如何访问远程 Webhook 服务。更多详情，请参见：https://kubernetes.ac.cn/docs/reference/access-authn-authz/authentication/#webhook-token-authentication 使用键“kubeConfig”查找数据。如果找不到 Secret 或预期的键，则不会使用该 Webhook。如果指定的 kube config 数据无效，则不会使用该 Webhook。此 Secret 的命名空间由使用点确定。

类型

对象

必需

  • name

属性 类型 描述

name

字符串

name 是引用的 Secret 的 metadata.name

.status

描述

status包含来自集群的观察值。它们可能不会被覆盖。

类型

对象

属性 类型 描述

integratedOAuthMetadata

对象

integratedOAuthMetadata 包含集群内集成 OAuth 服务器的 OAuth 2.0 授权服务器元数据的发现端点数据。此发现文档可以从其服务位置查看：oc get --raw '/.well-known/oauth-authorization-server' 更多详情，请参见 IETF 草案：https://tools.ietf.org/html/draft-ietf-oauth-discovery-04#section-2 这包含基于集群状态的观察值。spec.oauthMetadata 中显式设置的值优先于此字段。如果身份验证 spec.type 未设置为 IntegratedOAuth，则此字段无意义。使用键“oauthMetadata”查找数据。如果找不到 ConfigMap 或预期的键，则不会提供元数据。如果指定的元数据无效，则不会提供元数据。此 ConfigMap 的命名空间为 openshift-config-managed。

.status.integratedOAuthMetadata

描述

integratedOAuthMetadata 包含集群内集成 OAuth 服务器的 OAuth 2.0 授权服务器元数据的发现端点数据。此发现文档可以从其服务位置查看：oc get --raw '/.well-known/oauth-authorization-server' 更多详情，请参见 IETF 草案：https://tools.ietf.org/html/draft-ietf-oauth-discovery-04#section-2 这包含基于集群状态的观察值。spec.oauthMetadata 中显式设置的值优先于此字段。如果身份验证 spec.type 未设置为 IntegratedOAuth，则此字段无意义。使用键“oauthMetadata”查找数据。如果找不到 ConfigMap 或预期的键，则不会提供元数据。如果指定的元数据无效，则不会提供元数据。此 ConfigMap 的命名空间为 openshift-config-managed。

类型

对象

必需

  • name

属性 类型 描述

name

字符串

name 是引用的 ConfigMap 的 metadata.name

API 端点

提供以下 API 端点

  • /apis/config.openshift.io/v1/authentications

    • DELETE：删除 Authentication 集合

    • GET：列出 Authentication 对象

    • POST：创建 Authentication

  • /apis/config.openshift.io/v1/authentications/{name}

    • DELETE：删除 Authentication

    • GET：读取指定的 Authentication

    • PATCH：部分更新指定的 Authentication

    • PUT：替换指定的 Authentication

  • /apis/config.openshift.io/v1/authentications/{name}/status

    • GET：读取指定的 Authentication 的状态

    • PATCH：部分更新指定的 Authentication 的状态

    • PUT：替换指定的 Authentication 的状态

/apis/config.openshift.io/v1/authentications

HTTP 方法

DELETE

描述

删除 Authentication 集合

表 1. HTTP 响应
HTTP 代码 响应体

200 - OK

Status 模式

401 - Unauthorized

空
HTTP 方法

GET

描述

列出 Authentication 对象

表 2. HTTP 响应
HTTP 代码 响应体

200 - OK

AuthenticationList 模式

401 - Unauthorized

空
HTTP 方法

POST

描述

创建 Authentication

表 3. 查询参数
参数 类型 描述

dryRun

字符串

如果存在，则表示不应持久化修改。无效或无法识别的 dryRun 指令将导致错误响应，并且不会进一步处理请求。有效值为：- All：将处理所有 dry run 阶段

fieldValidation

字符串

fieldValidation 指示服务器如何处理请求 (POST/PUT/PATCH) 中包含未知或重复字段的对象。有效值为：- Ignore：这将忽略任何静默从对象中删除的未知字段，并将忽略解码器遇到的除最后一个重复字段之外的所有重复字段。这是 v1.23 之前的默认行为。- Warn：这将通过标准警告响应标头为每个从对象中删除的未知字段和遇到的每个重复字段发送警告。如果没有任何其他错误，请求仍然会成功，并且只会保留任何重复字段中的最后一个。这是 v1.23+ 的默认值 - Strict：如果任何未知字段将从对象中删除，或者存在任何重复字段，这将使请求失败并返回 BadRequest 错误。服务器返回的错误将包含遇到的所有未知和重复字段。
表 4. 请求体参数
参数 类型 描述

body

Authentication 模式
表 5. HTTP 响应
HTTP 代码 响应体

200 - OK

Authentication 模式

201 - Created

Authentication 模式

202 - Accepted

Authentication 模式

401 - Unauthorized

空

/apis/config.openshift.io/v1/authentications/{name}

表 6. 全局路径参数
参数 类型 描述

name

字符串

Authentication 的名称
HTTP 方法

DELETE

描述

删除 Authentication

表 7. 查询参数
参数 类型 描述

dryRun

字符串

如果存在，则表示不应持久化修改。无效或无法识别的 dryRun 指令将导致错误响应，并且不会进一步处理请求。有效值为：- All：将处理所有 dry run 阶段
表 8. HTTP 响应
HTTP 代码 响应体

200 - OK

Status 模式

202 - Accepted

Status 模式

401 - Unauthorized

空
HTTP 方法

GET

描述

读取指定的 Authentication

表 9. HTTP 响应
HTTP 代码 响应体

200 - OK

Authentication 模式

401 - Unauthorized

空
HTTP 方法

PATCH

描述

部分更新指定的 Authentication

表 10. 查询参数
参数 类型 描述

dryRun

字符串

如果存在，则表示不应持久化修改。无效或无法识别的 dryRun 指令将导致错误响应，并且不会进一步处理请求。有效值为：- All：将处理所有 dry run 阶段

fieldValidation

字符串

fieldValidation 指示服务器如何处理请求 (POST/PUT/PATCH) 中包含未知或重复字段的对象。有效值为：- Ignore：这将忽略任何静默从对象中删除的未知字段，并将忽略解码器遇到的除最后一个重复字段之外的所有重复字段。这是 v1.23 之前的默认行为。- Warn：这将通过标准警告响应标头为每个从对象中删除的未知字段和遇到的每个重复字段发送警告。如果没有任何其他错误，请求仍然会成功，并且只会保留任何重复字段中的最后一个。这是 v1.23+ 的默认值 - Strict：如果任何未知字段将从对象中删除，或者存在任何重复字段，这将使请求失败并返回 BadRequest 错误。服务器返回的错误将包含遇到的所有未知和重复字段。
表 11. HTTP 响应
HTTP 代码 响应体

200 - OK

Authentication 模式

401 - Unauthorized

空
HTTP 方法

PUT

描述

替换指定的 Authentication

表 12. 查询参数
参数 类型 描述

dryRun

字符串

如果存在，则表示不应持久化修改。无效或无法识别的 dryRun 指令将导致错误响应，并且不会进一步处理请求。有效值为：- All：将处理所有 dry run 阶段

fieldValidation

字符串

fieldValidation 指示服务器如何处理请求 (POST/PUT/PATCH) 中包含未知或重复字段的对象。有效值为：- Ignore：这将忽略任何静默从对象中删除的未知字段，并将忽略解码器遇到的除最后一个重复字段之外的所有重复字段。这是 v1.23 之前的默认行为。- Warn：这将通过标准警告响应标头为每个从对象中删除的未知字段和遇到的每个重复字段发送警告。如果没有任何其他错误，请求仍然会成功，并且只会保留任何重复字段中的最后一个。这是 v1.23+ 的默认值 - Strict：如果任何未知字段将从对象中删除，或者存在任何重复字段，这将使请求失败并返回 BadRequest 错误。服务器返回的错误将包含遇到的所有未知和重复字段。
表 13. 请求体参数
参数 类型 描述

body

Authentication 模式
表 14. HTTP 响应
HTTP 代码 响应体

200 - OK

Authentication 模式

201 - Created

Authentication 模式

401 - Unauthorized

空

/apis/config.openshift.io/v1/authentications/{name}/status

表 15. 全局路径参数
参数 类型 描述

name

字符串

Authentication 的名称
HTTP 方法

GET

描述

读取指定身份验证的状态

表 16. HTTP 响应
HTTP 代码 响应体

200 - OK

Authentication 模式

401 - Unauthorized

空
HTTP 方法

PATCH

描述

部分更新指定身份验证的状态

表 17. 查询参数
参数 类型 描述

dryRun

字符串

如果存在，则表示不应持久化修改。无效或无法识别的 dryRun 指令将导致错误响应，并且不会进一步处理请求。有效值为：- All：将处理所有 dry run 阶段

fieldValidation

字符串

fieldValidation 指示服务器如何处理请求 (POST/PUT/PATCH) 中包含未知或重复字段的对象。有效值为：- Ignore：这将忽略任何静默从对象中删除的未知字段，并将忽略解码器遇到的除最后一个重复字段之外的所有重复字段。这是 v1.23 之前的默认行为。- Warn：这将通过标准警告响应标头为每个从对象中删除的未知字段和遇到的每个重复字段发送警告。如果没有任何其他错误，请求仍然会成功，并且只会保留任何重复字段中的最后一个。这是 v1.23+ 的默认值 - Strict：如果任何未知字段将从对象中删除，或者存在任何重复字段，这将使请求失败并返回 BadRequest 错误。服务器返回的错误将包含遇到的所有未知和重复字段。
表 18. HTTP 响应
HTTP 代码 响应体

200 - OK

Authentication 模式

401 - Unauthorized

空
HTTP 方法

PUT

描述

替换指定身份验证的状态

表 19. 查询参数
参数 类型 描述

dryRun

字符串

如果存在，则表示不应持久化修改。无效或无法识别的 dryRun 指令将导致错误响应，并且不会进一步处理请求。有效值为：- All：将处理所有 dry run 阶段

fieldValidation

字符串

fieldValidation 指示服务器如何处理请求 (POST/PUT/PATCH) 中包含未知或重复字段的对象。有效值为：- Ignore：这将忽略任何静默从对象中删除的未知字段，并将忽略解码器遇到的除最后一个重复字段之外的所有重复字段。这是 v1.23 之前的默认行为。- Warn：这将通过标准警告响应标头为每个从对象中删除的未知字段和遇到的每个重复字段发送警告。如果没有任何其他错误，请求仍然会成功，并且只会保留任何重复字段中的最后一个。这是 v1.23+ 的默认值 - Strict：如果任何未知字段将从对象中删除，或者存在任何重复字段，这将使请求失败并返回 BadRequest 错误。服务器返回的错误将包含遇到的所有未知和重复字段。
表 20. 请求体参数
参数 类型 描述

body

Authentication 模式
表 21. HTTP 响应
HTTP 代码 响应体

200 - OK

Authentication 模式

201 - Created

Authentication 模式

401 - Unauthorized

空