管理Access Federation

概述

通过同步联合服务之间的所有安全实体(用户、组、权限和访问令牌)，Access Federation允许您从一个位置控制对全局JFrog Artifactory、JFrog Xray和JFrog Distribution服务的所有或任何子集的访问。一旦建立了访问联合，您就可以从一个地方管理联合服务中的所有安全实体。

JFrog任务控制允许您设置要跨不同联邦服务同步的安全实体，并提供快速简便的配置来设置Full Mesh或Star拓扑。同步过程由各种不同的参数调节，这些参数的默认值已设置为满足大多数安装。要了解这些不同的参数以及如何修改它们，请参考访问联合会在JFrog Artifactory用户指南中。

需求

需要Enterprise+许可证。
与您想要联合的Access服务捆绑在一起的Artifactory服务需要在线并由任务控制中心管理。
Artifactory 6.0及以上版本支持Access Federation。
需要任务控制管理权限。
需要配置从任务控制中心进行身份验证的访问。

页面内容

建立Access Federation

通过任务控制中心建立访问联盟需要以下主要步骤:

配置任务控制中心的认证访问
在此步骤中，您将启用Mission Control向其控制下连接到Artifactory服务的任何Access服务发送命令。
建立信任圈
在此步骤中，您将通过向同步目标服务提供同步源服务的根证书，为访问联合拓扑建立基础。
配置接入联邦拓扑
在此步骤中，您将建立所需的连接，以便源Artifactory服务能够将安全实体同步到目标服务(即那些已提供源服务根证书的服务)。

配置任务控制中心的认证访问

通过任务控制配置访问联合需要将人工服务设置为身份验证提供者。当您通过任务控制UI配置Access Federation时，使用该Artifactory安装的Access服务就是任务控制所设置的服务。

配置JFrog Access，以便从不同的服务器进行身份验证

默认情况下，Access服务只接受从Access服务所在的同一服务器发出的配置命令，然而，Mission Control和Artifactory(因此，相应的Access服务)通常安装在不同的服务器上。因此，为了允许通过任务控制配置Access Federation，您首先需要配置相应的Access服务，以便从任务控制中心进行身份验证中描述的步骤设置认证请参见《JFrog接入用户指南》，设置任务控制中心所在服务器的IP地址。

建立信任圈

如果源Artifactory服务受到目标的信任，Mission Control只能配置源Artifactory服务到目标服务的安全实体的同步。这种信任是通过向目标服务提供源服务的根证书建立的。

在配置接入联合拓扑之前

在进行配置访问联合拓扑的下一步之前，请确保为目标服务提供了来自源服务的所需根证书。

复制源服务的根目录证书,美元ARTIFACTORY_HOME /访问/ etc /键/ root到每个目标服务的美元ARTIFACTORY_HOME /访问/ etc /键/信任文件夹

例子

设置星形拓扑

考虑应该在星型拓扑中设置三个Access服务的示例，其中Access- a与Access- b和Access- c同步。

在这种情况下，您需要向Access-B和Access-C提供Access-A的根证书，以便A受到B和C的信任。

设置一个完整的网格拓扑

考虑应该在Full Mesh拓扑中设置的三个Access服务的示例，其中每个服务应该能够将对安全实体的更改同步到其他两个服务。

在这种情况下，您需要为每个Access服务提供其他两个服务的根证书，以便它们都是受信任的。

配置接入联邦拓扑

通过向目标访问服务提供源访问服务的根证书建立信任圈之后，您需要通过在任务控制中建立关系来配置拓扑。

要在任务控制中配置Access Federation拓扑，请从管理模块,选择Access Federation |配置。任务控制将显示它所管理的访问(人工)服务列表。

拓扑

要了解有关拓扑的更多信息，请参考示例拓扑。

网状拓扑结构

如果需要建立访问联合，请单击添加“Mesh Topology”。任务控制中心将显示一个向导，该向导将带您完成该过程的步骤:

选择服务
选择要同步的安全实体
总结

选择服务

在此步骤中，选择将成为联合组一部分的服务。要在联合组中包含服务，请从可用的接入服务列出并使用箭头将它们转移到选定的访问服务列表。

访问联合-选择服务

选择安全实体

一旦设置了联邦组中的Artifactory服务，就可以从以下内容中选择应该同步的安全实体集:

用户
组
权限
访问令牌

只需检查应该同步的实体(默认情况下，它们都被选中)并单击下一个。

访问联合-选择同步的安全实体

总结

最后，任务控制显示设置的摘要。单击，应用配置完成。

任务控制中心将显示行动的结果。

访问联合结果

上面的示例显示了一个网状拓扑，该拓扑允许从artifactory1到artifactoryedge1、artifactoryedge2和artifactoryedge3的安全实体同步。换句话说，artifactory-edge1、artifactory-edge2和artifactory-edge3都提供了artifactory-edge1的根证书，因此信任它作为源。最后的红色消息并不表示错误，而是表示artifactory1没有提供artifactory-edge1的根证书，因此您无法将安全实体从artifactory-edge1同步回artifactory1，这与本示例中的星型拓扑一致。

明星拓扑

如果需要建立访问联合，请单击应用拓扑并选择明星。任务控制中心将显示一个向导，该向导将带您完成该过程的步骤:

选择服务
选择要同步的安全实体
总结

选择服务

在此步骤中，选择将成为联合组一部分的服务。要在联合组中包含服务，请从可用的接入服务列出并使用箭头将它们转移到选定的访问服务列表。

选择安全实体

一旦设置了联邦组中的Artifactory服务，就可以继续选择实体类型选项卡，设置要从源站点同步到目标站点的实体类型。

从Mission Control 3.2版本开始，在从源服务到目标服务设置实体类型时，您有了更大的灵活性。

同步安全实体。

选择将实体类型分配给目标的方法。
- 手动将实体分配给不同的目标:这提供了尽可能的灵活性您可以为不同的目标分配不同的实体类型。例如:您决定将访问A的用户和组同步到访问B，选择仅将访问A的用户、组和权限同步到访问C，并将访问A的所有实体同步到访问e。仅适用于版本为6.3及以上的源Artifactory。
- 适用于所有目标:对于低于人工6.2的版本，目标列表被禁用，只有实体类型选择可用于配置。所做的任何选择都适用于所有目标，选择“权限”适用于所有权限。此选项在选择星型拓扑时启用。
选择要同步的实体类型。
- 用户
- 组
- 权限
- 包括/排除模式:适用于6.2以上版本的Artifactory。将实体类型分配给目标时，可以使用Include/ exclusive正则表达式指定要同步的特定权限。
- 令牌

下面的示例展示了如何手动选择特定的实体类型来针对服务:

如何将选定的实体类型自动应用于所有目标器，示例如下:

总结

最后，任务控制显示设置的摘要。单击，应用配置完成。

任务控制中心将显示行动的结果。

上面的示例显示了一个星型拓扑，该拓扑允许从artifactory1到artifactoryedge1、artifactoryedge2和artifactoryedge3的安全实体同步。换句话说，artifactory-edge1、artifactory-edge2和artifactory-edge3都提供了artifactory-edge1的根证书，因此信任它作为源。

REST API

任务控制支持管理访问联合会通过REST API。