23.0 规划部署

Identity Manager 容器部署过程需要以下 Azure 资源：

1. 确保您的 Azure 帐户拥有创建基础结构所需的读写许可权限。

   1. Azure Kubernetes 服务 (AKS)。

   2. 网络创建。

   3. （可选）Azure PostgreSQL。

      注：这些元素由 Terraform 部署脚本创建。

   注：在部署之前，请确保资源各有差异，并且尚未为您的 Azure 帐户创建 Identity Manager 配置文件。

2. 购买一个域以访问 Identity Manager 中的不同应用程序。

   您可以在相应的资源组中使用自己的域。例如 identitymanager.eastus.cloudapp.azure.com。

   注：对于上面的示例，eastus 表示位置，cloudapp.azure.com 表示一般的 Azure 后缀域。

3. 从任一证书颁发机构 (CA) 获取域的 SSL 证书（.crt 和 .key 文件）。

4. （可选）在命令行界面中运行以下命令，生成您自己的自我签名证书：

   openssl req -new -newkey rsa:2048 -nodes -keyout domain.key -out domain.csr

   1. 为以下提示指定输入：

      表 23-1

      Prompt	说明
      国家/地区名称（双字母代码）	使用双字母代码指定国家/地区名称。
      州或省名称	指定州或省/自治区/直辖市的全名。
      地区名称	指定市名。
      组织名称	指定组织名称。例如 Internet Widgits Pty Ltd。
      组织单元名	指定组织单位名称。例如 section。
      通用名称	指定服务器完全限定的域名 (FQDN)。例如 identitymanager.eastus.cloudapp.azure.com。
      电子邮件地址	指定您的电子邮件地址。
      询问口令 可选的公司名称	指定唯一口令。
      	指定可选的公司名称。

   2. 运行以下命令将私用密钥转换为 RSA 格式：

      openssl rsa -in domain.key -out tls.key

   3. 执行以下步骤获取根证书。

      1. 登录到 https://<IP 地址或主机名>:9000/identityconsole/#/。

      2. 导航到证书管理 > 服务器证书管理。

      3. 单击导出。

      4. 在“证书”下拉列表中选择组织 CA。

      5. 在“导出格式”下拉列表中选择 BASE64。

      6. 单击确定。

      7. 单击保存导出的证书。

   4. 执行以下步骤，将您的 CSR 提交到证书颁发机构 (CA) 并获取签名的服务器证书。

      1. 登录到 https://<IP 地址或主机名>:9000/identityconsole/#/。

      2. 导航到证书管理 > 颁发证书。

      3. 单击选择文件，上载在步骤 4.b 中生成的 <域>.csr 文件。

      4. 在证书参数下拉列表中选择有效期。例如“最大”。

      5. 在证书格式下拉列表中选择采用 Base64 格式的文件。

      6. 单击下一步。

      7. 检查提供的输入，然后单击确定。

      8. 单击下载颁发的证书。

   5. 运行以下命令以连接服务器证书和根证书。

      cat domain.b64 <(echo) cert.b64 <(echo) > tls.crt

5. 要生成服务主体身份凭证，请执行以下步骤。

   重要说明：必须拥有服务主体身份凭证才能生成配置并将所有敏感信息推送到 Azure 密钥保管库。

   1. 登录到 Azure 门户。

   2. 单击 。

   3. 在终端窗口中运行以下命令：

      az ad sp create-for-rbac --skip-assignment

   注：请记下命令输出中的 appid、口令和租户 ID。