feat(keycloak): получать группы пользователей из FreeIPA #187

Timur · 2026-10-18T16:13:31Z

Timur commented

2026-10-18 16:13:31 +00:00

Управление LDAP-провайдерами и мапперами, OIDC-клиентами и claims, группами, ролями и привязками вынесено в отдельный IaC-сервис keycloak_config. Новое приложение добавляется YAML-конфигом со ссылками на OpenBao без изменений Ansible. FreeIPA сохранена как рабочий пример; добавлен пример OpenLDAP.

Runtime Keycloak отвечает за контейнеры, bootstrap realm и truststore. CI выполняет offline validation → API preview → ручное подтверждение → apply. Существующие UUID сохраняются; удаление требует явного state: absent.

Проверено: YAML/Jinja, syntax-check обоих playbook, 26 ресурсов, генерация pipeline и 25 существующих проверок Jenkins. В существующих проверках OpenStack 65 прошли, две падают на неизменённом host-bootstrap.yml. Новые тесты не добавлялись; к кластеру изменения не применялись.

Порядок внедрения: сначала обновить runtime и остановить старые writers, затем preview/apply keycloak_config. Ручная приёмка описана в README. Согласование имён групп OpenBao/FreeIPA остаётся отдельной задачей.

Управление LDAP-провайдерами и мапперами, OIDC-клиентами и claims, группами, ролями и привязками вынесено в отдельный IaC-сервис `keycloak_config`. Новое приложение добавляется YAML-конфигом со ссылками на OpenBao без изменений Ansible. FreeIPA сохранена как рабочий пример; добавлен пример OpenLDAP. Runtime Keycloak отвечает за контейнеры, bootstrap realm и truststore. CI выполняет offline validation → API preview → ручное подтверждение → apply. Существующие UUID сохраняются; удаление требует явного `state: absent`. Проверено: YAML/Jinja, syntax-check обоих playbook, 26 ресурсов, генерация pipeline и 25 существующих проверок Jenkins. В существующих проверках OpenStack 65 прошли, две падают на неизменённом `host-bootstrap.yml`. Новые тесты не добавлялись; к кластеру изменения не применялись. Порядок внедрения: сначала обновить runtime и остановить старые writers, затем preview/apply `keycloak_config`. Ручная приёмка описана в README. Согласование имён групп OpenBao/FreeIPA остаётся отдельной задачей.

Timur added 1 commit

2026-10-18 16:13:31 +00:00

feat(keycloak): read FreeIPA group memberships through LDAP

drg/infrastructure/pipeline/pr-drunk This commit looks good

Details

48a759f8b9

elgrush commented

2026-10-18 17:41:50 +00:00

Все как-то сильно захардкожено. Хорошо бы это вынести в отдельный механизм - в свой конфиг и добавить ИПУ как пример.

Timur added 1 commit

2026-10-19 12:45:59 +00:00

refactor(keycloak): move LDAP and OIDC configuration into independent service

drg/infrastructure/pipeline/pr-drunk There was a failure building this commit

Details

22e54922a6

elgrush reviewed

2026-10-19 13:17:27 +00:00

services/keycloak_config/providers/freeipa.yaml

Lines 333-361

					
				@ -0,0 +330,32 @@

				        is.binary.attribute:

				          - 'false'

				    parent: ldap-master

				  - id: ldap-master-groups

				    kind: ldap_mapper

				    realm: master

				    spec:

				      name: freeipa-admins

				      providerId: group-ldap-mapper

				      config:

				        groups.dn:

				          - cn=groups,cn=accounts,dc=michshch,dc=ru

				        group.name.ldap.attribute:

				          - cn

				        group.object.classes:

				          - groupOfNames

				        membership.ldap.attribute:

				          - member

				        membership.attribute.type:

				          - DN

				        user.roles.retrieve.strategy:

				          - LOAD_GROUPS_BY_MEMBER_ATTRIBUTE

				        preserve.group.inheritance:

				          - 'true'

				        groups.path:

				          - /freeipa

				        mode:

				          - LDAP_ONLY

				        drop.non.existing.groups.during.sync:

				          - 'false'

				        groups.ldap.filter:

				          - (&(objectClass=groupOfNames)(cn=admins))