连接到身份提供程序

• 用户首次登录 IBM Software Hub时，平台会创建用户档案，并根据其 LDAP 组成员身份为用户分配正确的用户组。
• 如果用户之前已登录，那么平台将根据其 LDAP 组成员资格更新用户组成员资格。

这是适用于大多数环境的推荐方法。 如果要继续使用此方法，那么不需要执行其他操作。

如果要使用此方法：

1. 以 Red Hat® OpenShift® Container Platform 项目管理员身份登录：

   oc login OpenShift_URL:port

2. 通过运行以下命令，禁用“登录时同步”(LDAP_SYNC_ON_LOGIN)：

   oc patch configmap product-configmap \
   --namespace=${PROJECT_CPD_INST_OPERANDS} \
   --patch '{"data": {"LDAP_SYNC_ON_LOGIN" : "false"}}'

3. 删除 usermgmt pod：

   oc delete pod \
   --namespace=${PROJECT_CPD_INST_OPERANDS} \
   -l component=usermgmt

4. 启用定期同步作业：

   oc patch cj usermgmt-ldap-sync-cron-job \
   --namespace=${PROJECT_CPD_INST_OPERANDS} \
   --patch '{"spec": {"suspend": false}}'

• 用户首次登录 IBM Software Hub时，平台会创建用户档案，并根据其 LDAP 组成员身份为用户分配正确的用户组。
• 如果用户之前已登录，那么平台将根据其 LDAP 组成员资格更新用户组成员资格。

这是适用于大多数环境的推荐方法。 如果要继续使用此方法，那么不需要执行其他操作。

要启用经期同步任务：

1. 以 Red Hat OpenShift Container Platform 项目管理员身份登录：

   oc login OpenShift_URL:port

2. 确定是否需要覆盖 LDAP 同步作业的默认行为：
   • 默认情况下， LDAP 同步作业仅同步现有 IBM Software Hub 用户的组成员身份。 您可以覆盖此行为，自动接纳任何属于 LDAP 组且该组被包含在某个 IBM Software Hub 组中的用户。

     要自动将 LDAP 群组中的用户纳入系统，请在配置文件中将 SYNC_ALL_LDAPUSERStrueproduct-configConfigMap 参数设置为：

     oc patch configmap product-configmap \
     --namespace=${PROJECT_CPD_INST_OPERANDS} \
     --patch '{"data": {"SYNC_ALL_LDAPUSERS" : "true"}}'

   • 默认情况下， LDAP 同步任务会自动阻止所有不再属于 LDAP 服务器的用户。

     当用户被该任务阻止时，其个人资料将被更新。 用户个人资料中的属性 misc 包含以下字段{"blocked_from_ldap": true}：

     为防止用户被自动屏蔽，请在 中将 BLOCK_STALE_LDAPUSERS falseproduct-configConfigMap 参数设置为 ：

     oc patch configmap product-configmap \
     --namespace=${PROJECT_CPD_INST_OPERANDS} \
     --patch '{"data": {"BLOCK_STALE_LDAPUSERS" : "false"}}'

3. 删除 usermgmt pod：

   oc delete pod \
   --namespace=${PROJECT_CPD_INST_OPERANDS} \
   -l component=usermgmt

4. 启用定期同步作业：

   oc patch cj usermgmt-ldap-sync-cron-job \
   --namespace=${PROJECT_CPD_INST_OPERANDS} \
   --patch '{"spec": {"suspend": false}}'

   该任务每隔2小时运行一次。

5. 确认 cron usermgmt-ldap-sync-cron-job 任务是否正在运行：

   oc get cj usermgmt-ldap-sync-cron-job \
   --namespace=${PROJECT_CPD_INST_OPERANDS}

   该命令返回的输出格式如下：

   NAME                          SCHEDULE       TIMEZONE   SUSPEND   ACTIVE   LAST SCHEDULE   AGE
   usermgmt-ldap-sync-cron-job   */20 * * * *   <none>     False     0        5h51m           146d

   确保 SUSPEND 是 False。

6. 等待两小时后确认该 usermgmt-ldap-sync 作业是否创建成功：

   oc get job --namespace=${PROJECT_CPD_INST_OPERANDS} | grep usermgmt-ldap-sync