配置 Azure AD

以管理用户身份登录 Microsoft Azure。后续配置步骤中需要管理访问权限。

使用搜索功能打开 App registrations 服务。

点击 New registration 并填写表单。

使用搜索功能打开 App registrations 服务。然后打开你在上一个步骤中创建的 Rancher 项。

在导航窗格中，单击 Certificates & secrets。

单击 New client secret。

输入 Description（例如 Rancher）。

从 Expires 下的选项中选择持续时间。此下拉菜单设置的是密钥的到期日期。日期越短则越安全，但需要你更频繁地创建新密钥。 请注意，如果检测到应用程序 Secret 已过期，用户将无法登录 Rancher。为避免此问题，请在 Azure 中轮换 Secret 并在过期前在 Rancher 中更新它。

单击 Add（无需输入值，保存后会自动填充）。

稍后你将在 Rancher UI 中输入此密钥作为你的 Application Secret。由于你将无法在 Azure UI 中再次访问键值，因此请在其余设置过程中保持打开此窗口。

在导航窗格中，选择 API permissions。

单击 Add a permission。

从 Microsoft Graph API 中，选择以下 Application Permissions: Directory.Read.All。

返回导航栏中的 API permissions。在那里，单击 Grant admin consent。然后单击 Yes。该应用程序的权限应如下所示：

获取你的 Rancher 租户 ID。

获取你的 Rancher Application (Client) ID。

你的端点选项通常是 Standard 或 China。对于这两个选项，你只需要输入 Tenant ID、Application ID 和 Application Secret。

登录到 Rancher。

在左上角，单击 ☰ > 用户 & 认证。

在左侧导航栏，单击认证。

单击 AzureAD。

使用你在复制 Azure 应用数据时复制的信息，填写配置 Azure AD 账号的表单。

点击启用。

更新 Azure AD 应用程序注册的权限。这个步骤非常关键。

登录到 Rancher。

在 Rancher UI 主页中，记下屏幕顶部的横幅，该横幅建议用户更新 Azure AD 身份验证。单击提供的链接以执行此操作。

要完成新的 Microsoft Graph API 迁移，请单击 Update Endpoint。

在收到弹出警告消息时，单击 Update：

有关 Rancher 执行的完整端点更改，请参阅下面的表格。管理员不需要手动执行此操作。

如果管理员想要回滚，我们建议他们使用正确的恢复流程。有关参考信息，请参阅备份文档、恢复文档和示例。

如果 Azure 应用程序所有者想要轮换应用程序密钥，他们也需要在 Rancher 中进行轮换（因为在 Azure 中更改应用程序密钥时，Rancher 不会自动更新应用程序密钥）。在 Rancher 中，它存储在名为 azureadconfig-applicationsecret 的 Kubernetes 密文中，该密文位于 cattle-global-data 命名空间中。