🥇हम कुबेरनेट्स के लिए एलडीएपी प्राधिकरण को फास्ट करते हैं

कुबेरनेट्स को अपने एलडीएपी सर्वर से कनेक्ट करने और उपयोगकर्ताओं और समूहों के आयात को सेट करने के लिए कीक्लोक का उपयोग करने के तरीके पर एक छोटा ट्यूटोरियल। यह आपको अपने उपयोगकर्ताओं के लिए आरबीएसी स्थापित करने और कुबेरनेट्स डैशबोर्ड और अन्य अनुप्रयोगों की सुरक्षा के लिए ऑथ-प्रॉक्सी का उपयोग करने की अनुमति देगा जो खुद को अधिकृत करना नहीं जानते हैं।

चाभी की स्थापना

आइए मान लें कि आपके पास पहले से ही एक एलडीएपी सर्वर है। यह सक्रिय निर्देशिका, फ्रीआईपीए, ओपनएलडीएपी या कुछ भी हो सकता है। यदि आपके पास एलडीएपी सर्वर नहीं है, तो सिद्धांत रूप में आप सीधे कीक्लोक इंटरफ़ेस में उपयोगकर्ता बना सकते हैं, या सार्वजनिक ओआईडीसी प्रदाताओं (Google, Github, Gitlab) का उपयोग कर सकते हैं, परिणाम लगभग समान होगा।

सबसे पहले, चलिए Keycloak को ही इंस्टॉल करते हैं, इंस्टॉलेशन अलग से या सीधे Kubernetes क्लस्टर पर किया जा सकता है, एक नियम के रूप में, यदि आपके पास कई Kubernetes क्लस्टर हैं, तो इसे अलग से इंस्टॉल करना आसान होगा। दूसरी ओर, आप हमेशा उपयोग कर सकते हैं आधिकारिक हेल्म चार्ट और इसे सीधे अपने क्लस्टर में इंस्टॉल करें।

Keycloak डेटा को स्टोर करने के लिए आपको एक डेटाबेस की आवश्यकता होगी। डिफ़ॉल्ट है h2 (सभी डेटा स्थानीय रूप से संग्रहीत है), लेकिन इसका उपयोग करना भी संभव है postgres, mysql या mariadb.
यदि आप अभी भी कीक्लोक को अलग से स्थापित करने का निर्णय लेते हैं, तो आप अधिक विस्तृत निर्देश यहां पा सकते हैं आधिकारिक दस्तावेज.

फेडरेशन की स्थापना

सबसे पहले, आइए एक नया क्षेत्र बनाएं। क्षेत्र हमारे एप्लिकेशन का स्थान है। प्रत्येक एप्लिकेशन का अलग-अलग उपयोगकर्ताओं और प्राधिकरण सेटिंग्स के साथ अपना स्वयं का क्षेत्र हो सकता है। मास्टर क्षेत्र का उपयोग कीक्लोक द्वारा ही किया जाता है और किसी अन्य चीज़ के लिए इसका उपयोग करना गलत है।

क्लिक क्षेत्र जोड़ें

विकल्प
वैल्यू

नाम
kubernetes

प्रदर्शन नाम
Kubernetes

HTML प्रदर्शन नाम
<img src="https://kubernetes.io/images/nav_logo.svg" width="400" >

कुबेरनेट्स डिफ़ॉल्ट रूप से जाँचता है कि उपयोगकर्ता का ईमेल पुष्टिकृत है या नहीं। चूँकि हम अपने स्वयं के एलडीएपी सर्वर का उपयोग कर रहे हैं, यह चेक लगभग हमेशा वापस आएगा false. आइए कुबेरनेट्स में इस सेटिंग के प्रतिनिधित्व को अक्षम करें:

ग्राहक का दायरा -> ईमेल -> मानचित्रकारों -> ईमेल सत्यापित हुआ (हटाएं)

आइए अब फेडरेशन की स्थापना करें, इसके लिए हम यहां जाएंगे:

उपयोगकर्ता महासंघ -> प्रदाता जोड़ें… -> ldap

यहां FreeIPA के लिए एक उदाहरण सेटअप दिया गया है:

विकल्प
वैल्यू

कंसोल प्रदर्शन नाम
freeipa.example.org

विक्रेता
Red Hat Directory Server

यूयूआईडी एलडीएपी विशेषता
ipauniqueid

कनेक्शन यूआरएल
ldaps://freeipa.example.org

उपयोगकर्ता डी.एन
cn=users,cn=accounts,dc=example,dc=org

बाँध DN
uid=keycloak-svc,cn=users,cn=accounts,dc=example,dc=org

बाइंड क्रेडेंशियल
<password>

कर्बरोस प्रमाणीकरण की अनुमति दें:
on

केर्बरोस क्षेत्र:
EXAMPLE.ORG

सर्वर प्रिंसिपल:
HTTP/[email protected]

कुंजी टैब:
/etc/krb5.keytab

उपयोगकर्ता keycloak-svc हमारे एलडीएपी सर्वर पर पहले से बनाया जाना चाहिए।

सक्रिय निर्देशिका के मामले में, बस चयन करें विक्रेता: सक्रिय निर्देशिका और आवश्यक सेटिंग्स स्वचालित रूप से फॉर्म में डाली जाएंगी।

क्लिक सहेजें

अब आगे बढ़ते हैं:

उपयोगकर्ता महासंघ -> freeipa.example.org -> मानचित्रकारों -> प्रथम नाम

विकल्प
वैल्यू

एलडीएपी विशेषताएँ
givenName

अब ग्रुप मैपिंग सक्षम करें:

उपयोगकर्ता महासंघ -> freeipa.example.org -> मानचित्रकारों -> बनाएं

विकल्प
वैल्यू

नाम
groups

मैपर प्रकार
group-ldap-mapper

एलडीएपी समूह डीएन
cn=groups,cn=accounts,dc=example,dc=org

उपयोगकर्ता समूह पुनर्प्राप्ति रणनीति
GET_GROUPS_FROM_USER_MEMBEROF_ATTRIBUTE

यह फ़ेडरेशन सेटअप पूरा करता है, चलिए क्लाइंट सेट अप करने के लिए आगे बढ़ते हैं।

क्लाइंट सेटअप

आइए एक नया क्लाइंट बनाएं (एक एप्लिकेशन जो कीक्लोक से उपयोगकर्ताओं को प्राप्त करेगा)। चल दर:

ग्राहकों -> बनाएं

विकल्प
वैल्यू

ग्राहक आईडी
kubernetes

पहुंच प्रकार
confidenrial

रूट यूआरएल
http://kubernetes.example.org/

वैध रीडायरेक्ट यूआरआई
http://kubernetes.example.org/*

व्यवस्थापक यूआरएल
http://kubernetes.example.org/

हम समूहों के लिए भी गुंजाइश बनाएंगे:

ग्राहक का दायरा -> बनाएं

विकल्प
वैल्यू

टेम्पलेट
No template

नाम
groups

पूर्ण समूह पथ
false

और उनके लिए मैपर सेट अप करें:

ग्राहक का दायरा -> समूहों -> मानचित्रकारों -> बनाएं

विकल्प
वैल्यू

नाम
groups

मैपर प्रकार
Group membership

टोकन दावा नाम
groups

अब हमें अपने क्लाइंट दायरे में ग्रुप मैपिंग सक्षम करने की आवश्यकता है:

ग्राहकों -> Kubernetes -> ग्राहक का दायरा -> डिफ़ॉल्ट क्लाइंट स्कोप

चुनना समूहों в उपलब्ध क्लाइंट स्कोप, प्रेस चुने हुए को जोड़ो

आइए अब अपने एप्लिकेशन का प्रमाणीकरण सेट करें, यहां जाएं:

ग्राहकों -> Kubernetes

विकल्प
वैल्यू

प्राधिकरण सक्षम
ON

चलो धक्का लगाओ बचाना और यह क्लाइंट सेटअप पूरा करता है, अब टैब पर

ग्राहकों -> Kubernetes -> साख

तुम पा सकते हो गुप्त जिसे हम बाद में उपयोग करेंगे.

कुबेरनेट्स को कॉन्फ़िगर करना

ओआईडीसी प्राधिकरण के लिए कुबेरनेट्स की स्थापना करना काफी मामूली है और बहुत जटिल नहीं है। आपको बस अपने OIDC सर्वर का CA प्रमाणपत्र डालना है /etc/kubernetes/pki/oidc-ca.pem और kube-apiserver के लिए आवश्यक विकल्प जोड़ें।
ऐसा करने के लिए, अद्यतन करें /etc/kubernetes/manifests/kube-apiserver.yaml आपके सभी स्वामियों पर:

...
spec:
  containers:
  - command:
    - kube-apiserver
...
    - --oidc-ca-file=/etc/kubernetes/pki/oidc-ca.pem
    - --oidc-client-id=kubernetes
    - --oidc-groups-claim=groups
    - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes
    - --oidc-username-claim=email
...

और क्लस्टर में kubeadm कॉन्फिगरेशन को भी अपडेट करें ताकि अपडेट के दौरान ये सेटिंग्स न खोएं:

kubectl edit -n kube-system configmaps kubeadm-config

...
data:
  ClusterConfiguration: |
    apiServer:
      extraArgs:
        oidc-ca-file: /etc/kubernetes/pki/oidc-ca.pem
        oidc-client-id: kubernetes
        oidc-groups-claim: groups
        oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes
        oidc-username-claim: email
...

यह कुबेरनेट्स सेटअप पूरा करता है। आप इन चरणों को अपने सभी कुबेरनेट समूहों में दोहरा सकते हैं।

प्रारंभिक प्राधिकरण

इन चरणों के बाद, आपके पास पहले से ही OIDC प्राधिकरण कॉन्फ़िगर किया हुआ Kubernetes क्लस्टर होगा। एकमात्र मुद्दा यह है कि आपके उपयोगकर्ताओं के पास अभी तक कोई क्लाइंट कॉन्फ़िगर नहीं है, साथ ही उनका अपना kubeconfig भी नहीं है। इस समस्या को हल करने के लिए, आपको सफल प्राधिकरण के बाद उपयोगकर्ताओं को kubeconfig के स्वचालित जारी करने को कॉन्फ़िगर करने की आवश्यकता है।

ऐसा करने के लिए, आप विशेष वेब एप्लिकेशन का उपयोग कर सकते हैं जो आपको उपयोगकर्ता को प्रमाणित करने और फिर तैयार क्यूबकॉन्फिग को डाउनलोड करने की अनुमति देता है। सबसे सुविधाजनक में से एक है कुबेरोस, यह आपको एक कॉन्फ़िगरेशन में सभी कुबेरनेट क्लस्टर का वर्णन करने और उनके बीच आसानी से स्विच करने की अनुमति देता है।

Kuberos को कॉन्फ़िगर करने के लिए, kubeconfig के लिए टेम्पलेट का वर्णन करना और इसे निम्नलिखित मापदंडों के साथ चलाना पर्याप्त है:

kuberos https://keycloak.example.org/auth/realms/kubernetes kubernetes /cfg/secret /cfg/template

अधिक जानकारी के लिए देखें प्रयोग जीथब पर।

इसका उपयोग भी संभव है kubelogin यदि आप सीधे उपयोगकर्ता के कंप्यूटर पर अधिकृत करना चाहते हैं। इस मामले में, उपयोगकर्ता लोकलहोस्ट पर एक प्राधिकरण फॉर्म के साथ एक ब्राउज़र खोलेगा।

परिणामी kubeconfig को साइट पर जांचा जा सकता है jwt.io. बस मान कॉपी करें users[].user.auth-provider.config.id-token अपने kubeconfig से साइट पर एक फॉर्म पर जाएं और प्रतिलेख तुरंत प्राप्त करें।

आरबीएसी सेटअप

आरबीएसी को कॉन्फ़िगर करते समय, आप दोनों उपयोगकर्ता नाम (फ़ील्ड) का उल्लेख कर सकते हैं name jwt टोकन में) और उपयोगकर्ताओं के एक समूह के लिए (फ़ील्ड groups जेडब्ल्यूटी टोकन में)। यहां किसी समूह के लिए अनुमतियां सेट करने का एक उदाहरण दिया गया है kubernetes-default-namespace-admins:

Kubernetes-default-namespace-admins.yaml

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: default-admins
  namespace: default
rules:
- apiGroups:
  - '*'
  resources:
  - '*'
  verbs:
  - '*'
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: kubernetes-default-namespace-admins
  namespace: default
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: default-admins
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: kubernetes-default-namespace-admins

आरबीएसी के लिए और अधिक उदाहरण यहां पाए जा सकते हैं आधिकारिक कुबेरनेट्स दस्तावेज़ीकरण

प्राधिकरण-प्रॉक्सी सेट करना

एक अद्भुत प्रोजेक्ट है चाभी-द्वारपाल, जो आपको उपयोगकर्ता को OIDC सर्वर पर प्रमाणित करने की अनुमति देकर किसी भी एप्लिकेशन को सुरक्षित करने की अनुमति देता है। मैं आपको दिखाऊंगा कि आप उदाहरण के तौर पर कुबेरनेट्स डैशबोर्ड का उपयोग करके इसे कैसे सेट कर सकते हैं:

डैशबोर्ड-प्रॉक्सी.yaml

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: kubernetes-dashboard-proxy
spec:
  replicas: 1
  template:
    metadata:
      labels:
        app: kubernetes-dashboard-proxy
    spec:
      containers:
      - args:
        - --listen=0.0.0.0:80
        - --discovery-url=https://keycloak.example.org/auth/realms/kubernetes
        - --client-id=kubernetes
        - --client-secret=<your-client-secret-here>
        - --redirection-url=https://kubernetes-dashboard.example.org
        - --enable-refresh-tokens=true
        - --encryption-key=ooTh6Chei1eefooyovai5ohwienuquoh
        - --upstream-url=https://kubernetes-dashboard.kube-system
        - --resources=uri=/*
        image: keycloak/keycloak-gatekeeper
        name: kubernetes-dashboard-proxy
        ports:
        - containerPort: 80
          livenessProbe:
            httpGet:
              path: /oauth/health
              port: 80
            initialDelaySeconds: 3
            timeoutSeconds: 2
          readinessProbe:
            httpGet:
              path: /oauth/health
              port: 80
            initialDelaySeconds: 3
            timeoutSeconds: 2
---
apiVersion: v1
kind: Service
metadata:
  name: kubernetes-dashboard-proxy
spec:
  ports:
  - port: 80
    protocol: TCP
    targetPort: 80
  selector:
    app: kubernetes-dashboard-proxy
  type: ClusterIP

स्रोत: www.habr.com

हम कुबेरनेट्स के लिए LDAP प्राधिकरण को फास्ट करते हैं

चाभी की स्थापना

फेडरेशन की स्थापना

क्लाइंट सेटअप

कुबेरनेट्स को कॉन्फ़िगर करना

प्रारंभिक प्राधिकरण

आरबीएसी सेटअप

प्राधिकरण-प्रॉक्सी सेट करना

एक टिप्पणी जोड़ें उत्तर रद्द