doc/install/setup-login.html.textile.liquid

   1 ---
   2 layout: default
   3 navsection: installguide
   4 title: Set up web based login
   5 ...
   6 {% comment %}
   7 Copyright (C) The Arvados Authors. All rights reserved.
   8
   9 SPDX-License-Identifier: CC-BY-SA-3.0
  10 {% endcomment %}
  11
  12 Select one of the following login mechanisms for your cluster.
  13
  14 # If all users will authenticate with Google, "configure Google login":#google.
  15 # If all users will authenticate with an existing LDAP service, "configure LDAP":#ldap.
  16 # If all users will authenticate using PAM as configured on your controller node, "configure PAM":#pam.
  17 # If you need to enable multiple authentication methods, "configure a separate single sign-on (SSO) server":#sso.
  18
  19 h2(#google). Google login
  20
  21 With this configuration, users will sign in with their Google accounts.
  22
  23 First, visit "Setting up Google auth.":google-auth.html
  24
  25 Next, copy the values of *Client ID* and *Client secret* from the Google Developers Console into @Login.GoogleClientID@ and @Login.GoogleClientSecret@ of @config.yml@:
  26
  27 <pre>
  28     Login:
  29       GoogleClientID: "0000000000000-zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz.apps.googleusercontent.com"
  30       GoogleClientSecret: "zzzzzzzzzzzzzzzzzzzzzzzz"
  31 </pre>
  32
  33 h2(#ldap). LDAP
  34
  35 With this configuration, authentication uses an external LDAP service like OpenLDAP or Active Directory.
  36
  37 Enable LDAP authentication in @config.yml@:
  38
  39 <pre>
  40     Login:
  41       LDAP:
  42         Enable: true
  43         URL: ldap://ldap.example.com:389
  44         SearchBindUser: cn=lookupuser,dc=example,dc=com
  45         SearchBindPassword: xxxxxxxx
  46         SearchBase: ou=Users,dc=example,dc=com
  47 </pre>
  48
  49 The email address reported by LDAP will be used as primary key for Arvados accounts. This means *users must not be able to edit their own email addresses* in the directory.
  50
  51 Additional configuration settings are available:
  52 * @StartTLS@ is enabled by default.
  53 * @StripDomain@ and @AppendDomain@ modify the username entered by the user before searching for it in the directory.
  54 * @SearchAttribute@ (default @uid@) is the LDAP attribute used when searching for usernames.
  55 * @SearchFilters@ accepts LDAP filter expressions to control which users can log in.
  56
  57 Check the LDAP section in the "default config file":{{site.baseurl}}/admin/config.html for more details and configuration options.
  58
  59 h2(#pam). PAM (experimental)
  60
  61 With this configuration, authentication is done according to the Linux PAM ("Pluggable Authentication Modules") configuration on your controller host.
  62
  63 Enable PAM authentication in @config.yml@:
  64
  65 <pre>
  66     Login:
  67       PAM: true
  68 </pre>
  69
  70 Check the "default config file":{{site.baseurl}}/admin/config.html for more PAM configuration options.
  71
  72 The default PAM configuration on most Linux systems uses the local password database in @/etc/shadow@ for all logins. In this case, in order to log in to Arvados, users must have a shell account and password on the controller host itself. This can be convenient for a single-user or test cluster.
  73
  74 PAM can also be configured to use different backends like LDAP. In a production environment, PAM configuration should use the service name ("arvados" by default) to set a separate policy for Arvados logins: generally, Arvados users should not have shell accounts on the controller node.
  75
  76 For information about configuring PAM, refer to the "PAM System Administrator's Guide":http://www.linux-pam.org/Linux-PAM-html/Linux-PAM_SAG.html.
  77
  78 h2(#sso). Separate single-sign-on (SSO) server
  79
  80 With this configuration, Arvados passes off authentication to a separate SSO server that supports Google, LDAP, and a local password database.
  81
  82 See "Install the Single Sign On (SSO) server":install-sso.html