ProHoster > بلوق > إدارة > نقوم بربط ترخيص ActiveDirectory بـ Kubernetes باستخدام Keycloak

نقوم بربط ترخيص ActiveDirectory بـ Kubernetes باستخدام Keycloak

تمت كتابة هذه المقالة للتوسع في بالفعل موجود، لكنه يتحدث عن ميزات الحزمة مع Microsoft ActiveDirectory ، ويكملها أيضًا.

سأخبرك في هذه المقالة بكيفية التثبيت والتهيئة:

  • كيلوك هو مشروع مفتوح المصدر. الذي يوفر نقطة دخول واحدة للتطبيقات. يعمل مع العديد من البروتوكولات ، بما في ذلك LDAP و OpenID التي نهتم بها.
  • حارس البوابة keycloak - تطبيق الوكيل العكسي الذي يسمح لك بدمج التفويض من خلال Keycloak.
  • ممشى - تطبيق يقوم بإنشاء تكوين لـ kubectl يمكنك من خلاله تسجيل الدخول والاتصال بواجهة برمجة تطبيقات Kubernetes من خلال OpenID.

كيف تعمل الأذونات في Kubernetes.

يمكننا إدارة حقوق المستخدم / المجموعة باستخدام RBAC ، وقد تم بالفعل إنشاء مجموعة من المقالات حول هذا الموضوع ، ولن أتطرق إلى هذا بالتفصيل. تكمن المشكلة في أنه يمكنك استخدام RBAC لتقييد حقوق المستخدم ، لكن Kubernetes لا تعرف أي شيء عن المستخدمين. اتضح أننا بحاجة إلى آلية تسليم للمستخدم في Kubernetes. للقيام بذلك ، سنضيف موفرًا إلى Kuberntes OpenID ، والذي سيقول أن مثل هذا المستخدم موجود بالفعل ، وسوف يمنحه Kubernetes نفسه الحقوق.

تدريب

  • ستحتاج إلى مجموعة Kubernetes أو minikube
  • نشط الدليل
  • المجالات:
    keycloak.example.org
    kubernetes-dashboard.example.org
    gangway.example.org
  • شهادة للمجالات أو شهادة موقعة ذاتيا

لن أتطرق إلى كيفية إنشاء شهادة موقعة ذاتيًا ، فأنت بحاجة إلى إنشاء شهادتين ، وهذا هو الجذر (المرجع المصدق) وعميل wildcard للنطاق * .example.org

بعد استلام / إصدار الشهادات ، يجب إضافة العميل إلى Kubernetes ، لذلك نقوم بإنشاء سر له:

kubectl create secret tls tls-keycloak --cert=example.org.crt --key=example.org.pem

بعد ذلك ، سوف نستخدمه لوحدة تحكم الدخول الخاصة بنا.

تركيب Keycloak

قررت أن أسهل طريقة هي استخدام حلول جاهزة لهذا الغرض ، وهي مخططات الدفة.

قم بتثبيت المستودع وتحديثه:

helm repo add codecentric https://codecentric.github.io/helm-charts
helm repo update

قم بإنشاء ملف keycloak.yml بالمحتوى التالي:

keycloak.yml

keycloak:
  # Имя администратора
  username: "test_admin"
  # Пароль администратор  
  password: "admin"
  # Эти флаги нужны что бы позволить загружать в Keycloak скрипты прямо через web морду. Это нам 
  понадобиться что бы починить один баг, о котором ниже.
  extraArgs: "-Dkeycloak.profile.feature.script=enabled -Dkeycloak.profile.feature.upload_scripts=enabled" 
  # Включаем ingress, указываем имя хоста и сертификат который мы предварительно сохранили в secrets
  ingress:
    enabled: true 
    path: /
    annotations:
      kubernetes.io/ingress.class: nginx
      ingress.kubernetes.io/affinity: cookie
    hosts:
      - keycloak.example.org
    tls:
    - hosts:
        - keycloak.example.org
      secretName: tls-keycloak
  # Keycloak для своей работы требует базу данных, в тестовых целях я разворачиваю Postgresql прямо в Kuberntes, в продакшене так лучше не делать!
  persistence:
    deployPostgres: true
    dbVendor: postgres

postgresql:
  postgresUser: keycloak
  postgresPassword: ""
  postgresDatabase: keycloak
  persistence:
    enabled: true

إعداد الاتحاد

بعد ذلك ، انتقل إلى واجهة الويب keycloak.example.org

انقر في الزاوية اليسرى أضف عالمًا

القفل
القيم

الاسم
kubernetes

عرض اسم
Kubernetes

تعطيل التحقق من البريد الإلكتروني للمستخدم:
نطاقات العميل -> البريد الإلكتروني -> مصممي الخرائط -> تم التحقق من البريد الإلكتروني (حذف)

قمنا بإعداد اتحاد لاستيراد المستخدمين من ActiveDirectory ، وسأترك لقطات الشاشة أدناه ، وأعتقد أنها ستكون أكثر وضوحًا.

اتحاد المستخدم -> إضافة مزود… -> ldap

إعداد الاتحادنقوم بربط ترخيص ActiveDirectory بـ Kubernetes باستخدام Keycloak
نقوم بربط ترخيص ActiveDirectory بـ Kubernetes باستخدام Keycloak

إذا كان كل شيء على ما يرام ، ثم بعد الضغط على الزر مزامنة جميع المستخدمين سترى رسالة حول الاستيراد الناجح للمستخدمين.

بعد ذلك نحتاج إلى رسم خريطة لمجموعاتنا

اتحاد المستخدم -> ldap_localhost -> مصممي الخرائط -> إنشاء

إنشاء مخططنقوم بربط ترخيص ActiveDirectory بـ Kubernetes باستخدام Keycloak

إعداد العميل

من الضروري إنشاء عميل ، من حيث Keycloak ، هذا تطبيق سيتم تفويضه منه. سأبرز النقاط المهمة في لقطة الشاشة باللون الأحمر.

العملاء -> إنشاء

إعداد العميلنقوم بربط ترخيص ActiveDirectory بـ Kubernetes باستخدام Keycloak

لنقم بإنشاء سكوب للمجموعات:

نطاقات العميل -> إنشاء

إنشاء النطاقنقوم بربط ترخيص ActiveDirectory بـ Kubernetes باستخدام Keycloak

وقم بإعداد مخطط لهم:

نطاقات العميل -> المجموعات -> مصممو الخرائط -> إنشاء

مخططنقوم بربط ترخيص ActiveDirectory بـ Kubernetes باستخدام Keycloak

أضف تعيين مجموعاتنا إلى نطاقات العميل الافتراضية:

العملاء -> kubernetes -> نطاقات العميل -> نطاقات العميل الافتراضية
اختر مجموعات в نطاقات العملاء المتاحة، يضعط اضف اختيارك

نحصل على السر (ونكتبه إلى الموضوع) الذي سنستخدمه للحصول على إذن في Keycloak:

العملاء -> kubernetes -> بيانات الاعتماد -> سرية
يكمل هذا الإعداد ، ولكن حدث خطأ عندما تلقيت خطأ 403 بعد الحصول على إذن ناجح. تقرير الشوائب.

يصلح:

نطاقات العميل -> الأدوار -> مصممو الخرائط -> إنشاء

مخططنقوم بربط ترخيص ActiveDirectory بـ Kubernetes باستخدام Keycloak

رمز البرنامج النصي

// add current client-id to token audience
token.addAudience(token.getIssuedFor());

// return token issuer as dummy result assigned to iss again
token.getIssuer();

تكوين Kubernetes

نحتاج إلى تحديد مكان وجود شهادة الجذر الخاصة بنا من الموقع ، وأين يوجد موفر OIDC.
للقيام بذلك ، قم بتحرير الملف /etc/kubernetes/manifests/kube-apiserver.yaml

kube-apserver.yaml


...
spec:
  containers:
  - command:
    - kube-apiserver
...
    - --oidc-ca-file=/var/lib/minikube/certs/My_Root.crt
    - --oidc-client-id=kubernetes
    - --oidc-groups-claim=groups
    - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes
    - --oidc-username-claim=email
...

تحديث تهيئة kubeadm في الكتلة:

kubeadmconfig

kubectl edit -n kube-system configmaps kubeadm-config


...
data:
  ClusterConfiguration: |
    apiServer:
      extraArgs:
        oidc-ca-file: /var/lib/minikube/certs/My_Root.crt
        oidc-client-id: kubernetes
        oidc-groups-claim: groups
        oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes
        oidc-username-claim: email
...

تعيين وكيل المصادقة

يمكنك استخدام برنامج حماية البوابة keycloak لحماية تطبيق الويب الخاص بك. بالإضافة إلى حقيقة أن هذا الوكيل العكسي سيفوض المستخدم قبل عرض الصفحة ، فإنه سيمرر أيضًا معلومات عنك إلى التطبيق النهائي في الرؤوس. وبالتالي ، إذا كان التطبيق الخاص بك يدعم OpenID ، فسيتم تفويض المستخدم على الفور. ضع في اعتبارك مثال Kubernetes Dashboard

تثبيت Kubernetes Dashboard


helm install stable/kubernetes-dashboard --name dashboard -f values_dashboard.yaml

القيم_لوحة التحكم

enableInsecureLogin: true
service:
  externalPort: 80
rbac:
  clusterAdminRole: true
  create: true
serviceAccount:
  create: true
  name: 'dashboard-test'

تعيين حقوق الوصول:

لنقم بإنشاء ClusterRoleBinding التي ستمنح حقوق مسؤول الكتلة (مسؤول المجموعة ClusterRole القياسي) للمستخدمين في مجموعة DataOPS.


kubectl apply -f rbac.yaml

rbac.yaml


apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: dataops_group
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: DataOPS

تثبيت برنامج حماية بوابة keycloak:


helm repo add gabibbo97 https://gabibbo97.github.io/charts/
helm repo update
helm install gabibbo97/keycloak-gatekeeper --version 2.1.0 --name keycloak-gatekeeper -f values_proxy.yaml

القيم_بروكسي



# Включаем ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
  path: /
  hosts:
    - kubernetes-dashboard.example.org
  tls:
   - secretName: tls-keycloak
     hosts:
       - kubernetes-dashboard.example.org

# Говорим где мы будем авторизовываться у OIDC провайдера
discoveryURL: "https://keycloak.example.org/auth/realms/kubernetes"
# Имя клиента которого мы создали в Keycloak
ClientID: "kubernetes"
# Secret который я просил записать
ClientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
# Куда перенаправить в случае успешной авторизации. Формат <SCHEMA>://<SERVICE_NAME>.><NAMESAPCE>.<CLUSTER_NAME>
upstreamURL: "http://dashboard-kubernetes-dashboard.default.svc.cluster.local"
# Пропускаем проверку сертификата, если у нас самоподписанный
skipOpenidProviderTlsVerify: true
# Настройка прав доступа, пускаем на все path если мы в группе DataOPS
rules:
  - "uri=/*|groups=DataOPS"

بعد ذلك ، عندما تحاول الذهاب إلى kubernetes-dashboard.example.org، ستتم إعادة توجيهنا إلى Keycloak وفي حالة الحصول على إذن ناجح ، سنصل إلى لوحة التحكم التي تم تسجيل دخولها بالفعل.

تركيب الممر

للراحة ، يمكنك إضافة ممر يؤدي إلى إنشاء ملف تهيئة لـ kubectl ، وبمساعدته سنصل إلى Kubernetes تحت مستخدمنا.


helm install --name gangway stable/gangway -f values_gangway.yaml

القيم_الجارية. yaml


gangway:
  # Произвольное имя кластера
  clusterName: "my-k8s"
  # Где у нас OIDC провайдер
  authorizeURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/auth"
  tokenURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/token"
  audience: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/userinfo"
  # Теоритически сюда можно добавить groups которые мы замапили
  scopes: ["openid", "profile", "email", "offline_access"]
  redirectURL: "https://gangway.example.org/callback"
  # Имя клиента
  clientID: "kubernetes"
  # Секрет
  clientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
  # Если оставить дефолтное значние, то за имя пользователя будет братья <b>Frist name</b> <b>Second name</b>, а при "sub" его логин
  usernameClaim: "sub"
  # Доменное имя или IP адресс API сервера
  apiServerURL: "https://192.168.99.111:8443"

# Включаем Ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/proxy-buffer-size: "64k"
  path: /
  hosts:
  - gangway.example.org
  tls:
  - secretName: tls-keycloak
    hosts:
      - gangway.example.org

# Если используем самоподписанный сертификат, то его(открытый корневой сертификат) надо указать.
trustedCACert: |-
 -----BEGIN CERTIFICATE-----
 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
 -----END CERTIFICATE-----

يشبه هذا. يسمح لك بتنزيل ملف التكوين فورًا وإنشائه باستخدام مجموعة من الأوامر:

نقوم بربط ترخيص ActiveDirectory بـ Kubernetes باستخدام Keycloak

المصدر: www.habr.com

إضافة تعليق