A fin de configurar el acceso de los usuarios de OIDC al clúster de TKG 2.0, configure el espacio de nombres de vSphere con permisos de función para los usuarios y grupos del proveedor de identidad externo.

Configurar permisos de espacio de nombres de vSphere para usuarios y grupos del proveedor de identidad externo

Un clúster de TKG 2.0 en Supervisor se aprovisiona en un espacio de nombres de vSphere. Después de registrar un proveedor de OIDC externo con Supervisor, configure el espacio de nombres de vSphere con permisos de función para usuarios y grupos de proveedores de OIDC externos. Esta acción crea los enlaces de función para el proveedor de OIDC externo en cada clúster de TKG 2.0 en espacio de nombres de vSphere. Si el espacio de nombres de vSphere ya existe, se actualizan los enlaces de funciones.
Nota: Una vez registrado un IDP externo en un Supervisor, todos los clústeres de TKG 2.0 que se crearon en ese Supervisor se configurarán automáticamente con el IDP externo a través de los componentes de Pinniped.
  1. Registre un proveedor de identidad externo con Supervisor.

    Consulte Registrar un IDP externo con Supervisor.

  2. Cree un espacio de nombres de vSphere para uno o varios clústeres de TKG o seleccione un espacio de nombres de vSphere existente.

    Consulte Crear un espacio de nombres de vSphere para alojar clústeres de Servicio TKG.

  3. Configure usuarios y funciones para el espacio de nombres de vSphere.
    Seleccione el proveedor de OIDC externo como origen de identidad, agregue usuarios y asigne funciones.
    1. Seleccione el espacio de nombres de vSphere.
    2. Seleccione Permisos > Agregar permisos.
    3. Origen de identidad: seleccione el proveedor de identidad externo que se registró con Supervisor.

      El nombre de proveedor que utilizó para registrar el IDP externo debe aparecer en el menú desplegable. Si no es así, compruebe la configuración.

    4. Búsqueda de usuarios/grupos: escriba el nombre del usuario o grupo. La entrada de texto es una cadena de formato libre.

      Los usuarios y los grupos de un proveedor de identidad externo no se sincronizan con vCenter Server y no se pueden seleccionar. Debe escribir en el valor de la cadena, por lo general, una dirección de correo electrónico. No hay ningún prefijo, por lo que puede escribir "[email protected]", por ejemplo.

    5. Función: para asignar una función al usuario o al grupo, seleccione la función, ya sea Puede ver o Puede editar.
      Nota: La función Propietario no está disponible para poder usarla con un proveedor de identidad externo.
  4. Complete la configuración del espacio de nombres de vSphere.

    Consulte Configurar un espacio de nombres de vSphere para clústeres de Servicio TKG.