Kubernetes Dashboard ja GitHubi kasutajate integreerimine

Kubernetes Dashboard on lihtne tööriist, mis võimaldab saada teavet töötava klastrite kohta ja hallata seda minimaalselt. Tõeliselt hindad seda, kui juurdepääs nendele funktsioonidele on vajalik mitte ainult administraatoritele ja DevOps-inseneridele, vaid ka neile, kes ei ole harjunud käsureaga ja/või ei soovi tegeleda kõikide kubectl ja muude tööriistade nüanssidega. Nii juhtus ka meil: arendajatele tekkis vajadus kiireks juurdepääsuks Kubernetes'i veebiliidesele, ja kuna me kasutame GitLabi, tundus lahendus iseenesestmõistetav.

Miks see on vajalik?

Otsesed arendajad võivad olla huvitatud sellisest tööriistast nagu K8s Dashboard veaparanduse ülesannete jaoks. Vahel on soov näha logisid ja ressursse, vahel aga lõpetada pod'e, suurendada Deployments/StatefulSets ja isegi siseneda konteinerite konsooli (sellised taotlused esinevad, kuid nende lahendamiseks on olemas ka teisi viise — näiteks läbi kubectl-debug).

Lisaks on juhtide jaoks ka psühholoogiline aspekt, kui nad soovivad vaadata klastrit — näha, et "kõik on roheline" ja seeläbi rahuneda, et "kõik töötab" (mida muidugi on raske tõestada... aga see jääb juba artikli piiridest välja).

Meie standardseks CI-süsteemiks on kasutatud GitLab: seda kasutavad kõik arendajad. Seetõttu oli mõistlik luua Dashboardi ja GitLabi kontode vahel integratsioon.

Lisaks mainin, et kasutame NGINX Ingressi. Kui aga töötate teistega ingress-lahendustega, peate ise leidma sarnased annotatsioonid autentimiseks.

Proovime integratsiooni

Dashboardi installimine

Tähelepanu: Kui kavatsete allpool kirjeldatud samme korrata, siis — vältimaks tarbetuid toiminguid — loe enne järgmise alapeatüki juurde liikumist lõpuni.

Kuna seda integratsiooni kasutatakse mitmes paigalduses, oleme selle installimise automatiseerinud. Allikafailid, mida selleks vajate, on avaldatud eriliseks GitHubi hoidlas. Need põhinevad kergelt muudetud YAML-konfiguratsioonidel ametlikust Dashboardi hoidlast, ning Bash-skript kiireks juurutamiseks.

Skript installib Dashboard'i klastrisse ja seadistab selle integreerimiseks GitLabiga:

$ ./ctl.sh  
Kasutus: ctl.sh [VALIK]... --gitlab-url GITLAB_URL --oauth2-id ID --oauth2-secret SECRET --dashboard-url DASHBOARD_URL
Installib kubernetes-dashboard'i Kubernetes'i klastrisse.
Kohustuslikud argumendid:
 -i, --install                installib 'kube-system' nimespetsi
 -u, --upgrade                uuendab olemasolevat installatsiooni, taaskasutab parooli ja hostinimesid
 -d, --delete                 eemaldab kõik, sealhulgas nimespets
     --gitlab-url             seadistab gitlab URL-i skeemiga (https://gitlab.example.com)
     --oauth2-id              seadistab OAUTH2_PROXY_CLIENT_ID gitlabist
     --oauth2-secret          seadistab OAUTH2_PROXY_CLIENT_SECRET gitlabist
     --dashboard-url          seadistab dashboard URL-i ilma skeemita (dashboard.example.com)
Valikuline argument:
 -h, --help                   kuvab selle sõnumi

Kuid enne selle kasutamist tuleb minna GitLabi: Admin ala → Rakendused — ja lisada uus rakendus tulevase paneeli jaoks. Nimeks saame 'kubernetes dashboard':

Tulemuseks, pärast selle lisamist, annab GitLab järgmised hash'id:

Just neid kasutatakse argumendina skripti jaoks. Tulemuseks, installatsioon näeb välja järgmiselt:

$ ./ctl.sh -i --gitlab-url https://gitlab.example.com --oauth2-id 6a52769e… --oauth2-secret 6b79168f… --dashboard-url dashboard.example.com

Pärast seda kontrollime, et kõik käivitub:

$ kubectl -n kube-system get pod | egrep '(dash|oauth)'
kubernetes-dashboard-76b55bc9f8-xpncp   1/1       Running   0          14s
oauth2-proxy-5586ccf95c-czp2v           1/1       Running   0          14s

Varem või hiljem kõik tööle hakkab, aga autentimine ei hakka kohe tööle! Asi on selles, et kasutatav pilt (sarnased probleemid on ka muude piltide puhul) on valesti rakendanud redirekti püüdmise protsessi callbackis. See toob kaasa selle, et oauth kustutab küpsise, mille ta meile (oauth) ise annab...

Probleem lahendatakse, koostades oma oauth pildi koos patšiga.

Patš oauth'ile ja uuesti installimine

Selleks kasutame järgmist Dockerfile'i:

FROM golang:1.9-alpine3.7
WORKDIR /go/src/github.com/bitly/oauth2_proxy

RUN apk --update add make git build-base curl bash ca-certificates wget 
&& update-ca-certificates 
&& curl -sSO https://raw.githubusercontent.com/pote/gpm/v1.4.0/bin/gpm 
&& chmod +x gpm 
&& mv gpm /usr/local/bin
RUN git clone https://github.com/bitly/oauth2_proxy.git . 
&& git checkout bfda078caa55958cc37dcba39e57fc37f6a3c842  
ADD rd.patch .
RUN patch -p1 < rd.patch 
&& ./dist.sh

FROM alpine:3.7
RUN apk --update add curl bash ca-certificates && update-ca-certificates
COPY --from=0 /go/src/github.com/bitly/oauth2_proxy/dist/ /bin/

EXPOSE 8080 4180
ENTRYPOINT [ "/bin/oauth2_proxy" ]
CMD [ "--upstream=http://0.0.0.0:8080/", "--http-address=0.0.0.0:4180" ]

Nii näeb välja patš rd.patch

diff --git a/dist.sh b/dist.sh
index a00318b..92990d4 100755
--- a/dist.sh
+++ b/dist.sh
@@ -14,25 +14,13 @@ goversion=$(go version | awk '{print $3}')
sha256sum=()
 
echo "... testid käimas"
-./test.sh
+#./test.sh
 
-for os in windows linux darwin; do
-    echo "... ehitame v$version jaoks $os/$arch"
-    EXT=
-    if [ $os = windows ]; then
-        EXT=".exe"
-    fi
-    BUILD=$(mktemp -d ${TMPDIR:-/tmp}/oauth2_proxy.XXXXXX)
-    TARGET="oauth2_proxy-$version.$os-$arch.$goversion"
-    FILENAME="oauth2_proxy-$version.$os-$arch$EXT"
-    GOOS=$os GOARCH=$arch CGO_ENABLED=0 
-        go build -ldflags="-s -w" -o $BUILD/$TARGET/$FILENAME || exit 1
-    pushd $BUILD/$TARGET
-    sha256sum+=("$(shasum -a 256 $FILENAME || exit 1)")
-    cd .. && tar czvf $TARGET.tar.gz $TARGET
-    mv $TARGET.tar.gz $DIR/dist
-    popd
-done
+os='linux'
+echo "... ehitame v$version jaoks $os/$arch"
+TARGET="oauth2_proxy-$version.$os-$arch.$goversion"
+GOOS=$os GOARCH=$arch CGO_ENABLED=0 
+    go build -ldflags="-s -w" -o ./dist/oauth2_proxy || exit 1
  
checksum_file="sha256sum.txt"
cd $DIR/dists
diff --git a/oauthproxy.go b/oauthproxy.go
index 21e5dfc..df9101a 100644
--- a/oauthproxy.go
+++ b/oauthproxy.go
@@ -381,7 +381,9 @@ func (p *OAuthProxy) SignInPage(rw http.ResponseWriter, req *http.Request, code
       if redirect_url == p.SignInPath {
               redirect_url = "/"
       }
-
+       if req.FormValue("rd") != "" {
+               redirect_url = req.FormValue("rd")
+       }
       t := struct {
               ProviderName  string
               SignInMessage string

Nüüd on võimalik luua pilt ja 'push' see meie GitLabi. Edasi manifests/kube-dashboard-oauth2-proxy.yaml märkime vajaliku pildi kasutamise (asendage see oma omaga):

 image: docker.io/colemickens/oauth2_proxy:latest

Kui teil on autoga seotud registry, ärge unustage lisada saladuse kasutamist piltide tõmbamiseks:

      imagePullSecrets:
     - name: gitlab-registry

… ja lisage ise saladus registry jaoks:

---
apiVersion: v1
data:
 .dockercfg: eyJyZWdpc3RyeS5jb21wYW55LmNvbSI6IHsKICJ1c2VybmFtZSI6ICJvYXV0aDIiLAogInBhc3N3b3JkIjogIlBBU1NXT1JEIiwKICJhdXRoIjogIkFVVEhfVE9LRU4iLAogImVtYWlsIjogIm1haWxAY29tcGFueS5jb20iCn0KfQoK
=
kind: Secret
metadata:
 annotations:
 name: gitlab-registry
 namespace: kube-system
type: kubernetes.io/dockercfg

Hoolikas lugeja märkab, et eespool toodud pikk rida on base64 konfiguratsioonist:

{"registry.company.com": {
 "username": "oauth2",
 "password": "PASSWORD",
 "auth": "AUTH_TOKEN",
 "email": "mail@company.com"
}
}

Need on kasutaja andmed GitLabis, mida Kubernetes kasutab pildi tõmbamiseks registry'lt.

Pärast kõike seda saab käivitada järgmist käsku, et eemaldada praegune (vale) Dashboard'i installatsioon:

$ ./ctl.sh -d

… ja installida kõik uuesti:

$ ./ctl.sh -i --gitlab-url https://gitlab.example.com --oauth2-id 6a52769e… --oauth2-secret 6b79168f… --dashboard-url dashboard.example.com

On aeg sisse logida Dashboard'i ja leida üsna vanaaegne sisselogimise nupp:

Pärast selle vajutamist tervitab meid GitLab, pakkudes sisselogimist oma tuttaval lehel (loomulikult, kui me ei ole seal eelnevalt sisse loginud):

Logime sisse oma GitLabi andmetega — ja kõik on tehtud:

Dashboard'i võimalustest

Kui olete arendaja, kes pole kunagi Kubernetesega töötanud, või olete mingil põhjusel varem Dashboard'iga kokku puutunud — illustreerin mõned tema võimalused.

Esiteks, saate vaadata, et "kõik on roheline":

Pod'ide kohta on saadaval ka üksikasjalikumad andmed, nagu keskkonnamuutujad, tõmmatud pilt, käivitusargumendid, nende seisund:

Deployment'ide staatuseid on näha:

… ja muid üksikasju:

… samuti on võimalik skaleerida deployment'i:

Selle operatsiooni tulemus:

Muude kasulike võimaluste seas, millest artikli alguses juba räägitud, on logide vaatamine:

… ja võimalus siseneda valitud pod'i konteinerite konsooli:

Lisaks on võimalik vaadata ka node'ide limit'e/request'e:

Muidugi ei ole need kõik paneeli võimalused, aga loodan, et üldine arusaam on selgunud.

Integreerimise ja Dashboardi puudused

Kirjeldatud integreerimises puudub igasugune juurdepääsu piiramise. Sellega saavad kõik kasutajad, kellel on ligipääs GitLabile, juurdepääsu Dashboard'ile. Dashboard'is on neil kõikidel sama juurdepääs, mis vastab Dashboard'i õigustele, mida defineeritakse RBAC'is.. Selge on, et see ei sobi kõigile, kuid meie puhul osutus see piisavaks.

Mõned märkimisväärsed miinused DashboarM'i paneelis on järgmised:

• ei ole võimalik pääseda init-konteineri konsooli;
• ei saa redigeerida Deployments ja StatefulSets, kuigi seda on võimalik parandada ClusterRole'is;
• Dashboard'i ühilduvus Kubernetes'i uusimate versioonidega ja projekti tulevik tekitavad küsimusi.

Viimane probleem väärib eraldi tähelepanu.

Dashboard'i staatus ja alternatiivid

Dashboard'i ühilduvustabel Kubernetes'i väljaannetega, mis esitati projekti viimasel versioonil (v1.10.1), ei ole väga lohutav:

Ometi on olemas (juba jaanuaris aktsepteeritud) PR #3476, mis kuulutab välja K8s 1.13 toe. Lisaks võib projekti issues leida kasutajate mainimisi, kes töötavad paneeliga K8s 1.14. Lõpuks, commit'id projekti koodibaasi ei ole peatunud. Nii et (minimaalselt!) ei ole projekti tegelik staatus nii halb, nagu võib esialgu tunduda ametlikust ühilduvustabelist.

Lõpuks, Dashboard'il on alternatiive. Nende hulgas:

1. K8Dash — noor liides (esimesed commitid pärinevad selle aasta märtsist), mis pakub juba korralikke võimalusi, näiteks klambri praeguse staatuse visuaalset esitlust ja selle objektide haldamist. Positsioneeritakse kui "reaalaegne liides", kuna värskendab kuvatavaid andmeid automaatselt, ilma et oleks vaja brauseris lehte uuendada.
2. OpenShift Console — Red Hat OpenShift'i veebiliides, mis toob teie klambri ka projekti muid arendusi, mis ei pruugi kõigile sobida.
3. Kubernator — huvitav projekt, mis loodi madalama taseme (kui Dashboard) liidese jaoks, et vaadata klambri kõiki objekte. Siiski tundub, et selle arendamine on peatunud.
4. Polaris — literal paar päeva tagasi välja kuulutatud projekt, mis ühendab panelli funktsioonid (kuvab klambri hetkeseisu, kuid ei halda selle objekte) ja automaatse "parimate praktikate valideerimise" (kontrollib klambrit jooksutatud Deployments'i seadistuste õigsuse suhtes).

Kokkuvõtte asemel

Kubernetes Dashboard on meie hallatavate klastrite standardne tööriist. Selle integreerimine GitLabiga on samuti osa meie «vaikespetsifikatsioonist», kuna paljud arendajad hindavad selle paneeli pakutavaid võimalusi.

Kubernetes Dashboardil on aeg-ajalt alternatiive Open Source kogukonnalt (ja me oleme valmis neid kaaluma), kuid praegu jääme selle lahenduse juurde.

P.S.

Lugege ka meie blogist:

• «kubebox ja teised Kubernetes'i konsoolilähendused»;
• «CI/CD parimad tavad Kubernetesiga ja GitLabiga (ülevaade ja videos esitlus)»;
• «Rakenduste koostamine ja deployimine Kubernetesis koos dapp'i ja GitLab CI-ga»;
• «GitLab CI pidevaks integreerimiseks ja tootmisse toimetamiseks. Osa 1: meie pipeline».

Allikas: habr.com