LDAP 認証を Kubernetes に固定します

Keycloakを使用してKubernetesをLDAPサーバーに接続し、ユーザーとグループのインポートを設定する方法に関する小さなチュートリアル。 これにより、ユーザーに対して RBAC を設定し、認証プロキシを使用して Kubernetes ダッシュボードや、自身を認証する方法がわからないその他のアプリケーションを保護できるようになります。

Keycloakのインストール

すでに LDAP サーバーがあると仮定します。 Active Directory、FreeIPA、OpenLDAP などの可能性があります。 LDAP サーバーがない場合は、原則として、Keycloak インターフェースで直接ユーザーを作成することも、パブリック oidc プロバイダー (Google、Github、Gitlab) を使用することもでき、結果はほぼ同じになります。

まず、Keycloak 自体をインストールしましょう。インストールは個別に実行することも、Kubernetes クラスターに直接実行することもできます。原則として、複数の Kubernetes クラスターがある場合は、個別にインストールする方が簡単です。 一方で、いつでも使用できます 公式ヘルムチャート それをクラスターに直接インストールします。

Keycloak データを保存するには、データベースが必要です。 デフォルトは h2 (すべてのデータはローカルに保存されます) を使用することもできます。 postgres, mysql または mariadb.
それでも Keycloak を個別にインストールする場合は、より詳細な手順を参照してください。 公式ドキュメント.

フェデレーションのセットアップ

まず、新しいレルムを作成しましょう。 レルムはアプリケーションの空間です。 各アプリケーションは、異なるユーザーと認証設定を持つ独自のレルムを持つことができます。 マスターレルムはKeycloak自体によって使用されており、それを他の用途に使用することは間違っています。

クリック レルムの追加

オプション
値

名前
kubernetes

表示名
Kubernetes

HTML表示名
<img src="https://kubernetes.io/images/nav_logo.svg" width="400" >

Kubernetes はデフォルトで、ユーザーの電子メールが確認されたかどうかをチェックします。 独自の LDAP サーバーを使用しているため、このチェックではほとんどの場合次の結果が返されます。 false。 Kubernetes でのこの設定の表現を無効にしてみましょう。

クライアントスコープ -> メールアドレス -> マッパー -> メール認証済み （消去）

次に、フェデレーションを設定しましょう。このために、次の手順に進みます。

ユーザー連合 -> プロバイダーを追加… -> LDAP

FreeIPA のセットアップ例を次に示します。

オプション
値

コンソールの表示名
freeipa.example.org

ベンダー
Red Hat Directory Server

UUID LDAP 属性
ipauniqueid

接続URL
ldaps://freeipa.example.org

ユーザーDN
cn=users,cn=accounts,dc=example,dc=org

バインドDN
uid=keycloak-svc,cn=users,cn=accounts,dc=example,dc=org

認証情報のバインド
<password>

Kerberos 認証を許可します。
on

ケルベロスレルム:
EXAMPLE.ORG

サーバープリンシパル:
HTTP/freeipa.example.org@EXAMPLE.ORG

キータブ:
/etc/krb5.keytab

使用者 keycloak-svc 事前に弊社のLDAPサーバー上に作成しておく必要があります。

Active Directory の場合は、単に選択するだけです ベンダー: Active Directory 必要な設定がフォームに自動的に挿入されます。

クリック Save

次に進みましょう:

ユーザー連合 -> freeipa.example.org -> マッパー -> 名

オプション
値

LDAP 属性
givenName

次に、グループ マッピングを有効にします。

ユーザー連合 -> freeipa.example.org -> マッパー -> 創造する

オプション
値

名前
groups

マッパーの種類
group-ldap-mapper

LDAPグループDN
cn=groups,cn=accounts,dc=example,dc=org

ユーザーグループの取得戦略
GET_GROUPS_FROM_USER_MEMBEROF_ATTRIBUTE

これでフェデレーションのセットアップは完了です。クライアントのセットアップに進みましょう。

クライアントのセットアップ

新しいクライアント (Keycloak からユーザーを受け取るアプリケーション) を作成しましょう。 さあ行こう：

取引実績 -> 創造する

オプション
値

顧客ID
kubernetes

アクセスタイプ
confidenrial

ルートURL
http://kubernetes.example.org/

有効なリダイレクト URI
http://kubernetes.example.org/*

管理者URL
http://kubernetes.example.org/

グループのスコープも作成します。

クライアントスコープ -> 創造する

オプション
値

テンプレート
No template

名前
groups

完全なグループパス
false

そして、それらのためにマッパーをセットアップします。

クライアントスコープ -> グループヘッド -> マッパー -> 創造する

オプション
値

名前
groups

マッパーのタイプ
Group membership

トークン要求名
groups

次に、クライアント スコープでグループ マッピングを有効にする必要があります。

取引実績 -> クベルネテス -> クライアントスコープ -> デフォルトのクライアントスコープ

選択します グループヘッド в 利用可能なクライアント スコープ、 プレス 選択したものを追加

次に、アプリケーションの認証を設定しましょう。次の場所に進みます。

取引実績 -> クベルネテス

オプション
値

認証が有効です
ON

押してみましょう 保存 これでクライアントのセットアップが完了し、タブ上に表示されます

取引実績 -> クベルネテス -> Credentials

得られる 秘密 これは後で使用します。

Kubernetesの構成

OIDC 認証用に Kubernetes をセットアップするのは非常に簡単で、それほど複雑なものではありません。 OIDC サーバーの CA 証明書を /etc/kubernetes/pki/oidc-ca.pem そして、kube-apiserver に必要なオプションを追加します。
これを行うには、更新します /etc/kubernetes/manifests/kube-apiserver.yaml すべてのマスター上で:

...
spec:
  containers:
  - command:
    - kube-apiserver
...
    - --oidc-ca-file=/etc/kubernetes/pki/oidc-ca.pem
    - --oidc-client-id=kubernetes
    - --oidc-groups-claim=groups
    - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes
    - --oidc-username-claim=email
...

また、更新中にこれらの設定が失われないように、クラスター内の kubeadm 構成も更新します。

kubectl edit -n kube-system configmaps kubeadm-config

...
data:
  ClusterConfiguration: |
    apiServer:
      extraArgs:
        oidc-ca-file: /etc/kubernetes/pki/oidc-ca.pem
        oidc-client-id: kubernetes
        oidc-groups-claim: groups
        oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes
        oidc-username-claim: email
...

これでKubernetesのセットアップは完了です。 すべての Kubernetes クラスターでこれらの手順を繰り返すことができます。

初期認証

これらの手順を完了すると、OIDC 認証が構成された Kubernetes クラスターがすでに作成されています。 唯一のポイントは、ユーザーがまだクライアントと独自の kubeconfig を構成していないことです。 この問題を解決するには、承認が成功した後にユーザーに kubeconfig を自動発行するように構成する必要があります。

これを行うには、ユーザーを認証して完成した kubeconfig をダウンロードできる特別な Web アプリケーションを使用できます。 最も便利なものの XNUMX つは、 クベロスを使用すると、すべての Kubernetes クラスターを XNUMX つの構成で記述し、それらを簡単に切り替えることができます。

Kuberos を構成するには、kubeconfig のテンプレートを記述し、次のパラメーターを使用して実行するだけで十分です。

kuberos https://keycloak.example.org/auth/realms/kubernetes kubernetes /cfg/secret /cfg/template

詳細については、を参照してください。 使用法 Githubで。

を使用することも可能です クベログイン ユーザーのコンピュータ上で直接認証したい場合。 この場合、ユーザーはローカルホスト上の認証フォームを使用してブラウザを開きます。

結果のkubeconfigはサイトで確認できます jwt.io。 値をコピーするだけです users[].user.auth-provider.config.id-token kubeconfig からサイト上のフォームにコピーし、トランスクリプトをすぐに取得します。

RBAC セットアップ

RBAC を設定する場合、ユーザー名 (フィールド) の両方を参照できます。 name jwt トークン内) およびユーザーのグループ (フィールド groups jwtトークン内）。 グループの権限を設定する例を次に示します。 kubernetes-default-namespace-admins:

kubernetes-default-namespace-admins.yaml

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: default-admins
  namespace: default
rules:
- apiGroups:
  - '*'
  resources:
  - '*'
  verbs:
  - '*'
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: kubernetes-default-namespace-admins
  namespace: default
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: default-admins
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: kubernetes-default-namespace-admins

RBAC のその他の例は、次の場所にあります。 Kubernetes の公式ドキュメント

認証プロキシの設定

素晴らしいプロジェクトがあります キークローク-ゲートキーパーこれにより、ユーザーが OIDC サーバーに対して認証できるようにすることで、あらゆるアプリケーションを保護できます。 例として、Kubernetes ダッシュボードを使用してセットアップする方法を示します。

ダッシュボードプロキシ.yaml

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: kubernetes-dashboard-proxy
spec:
  replicas: 1
  template:
    metadata:
      labels:
        app: kubernetes-dashboard-proxy
    spec:
      containers:
      - args:
        - --listen=0.0.0.0:80
        - --discovery-url=https://keycloak.example.org/auth/realms/kubernetes
        - --client-id=kubernetes
        - --client-secret=<your-client-secret-here>
        - --redirection-url=https://kubernetes-dashboard.example.org
        - --enable-refresh-tokens=true
        - --encryption-key=ooTh6Chei1eefooyovai5ohwienuquoh
        - --upstream-url=https://kubernetes-dashboard.kube-system
        - --resources=uri=/*
        image: keycloak/keycloak-gatekeeper
        name: kubernetes-dashboard-proxy
        ports:
        - containerPort: 80
          livenessProbe:
            httpGet:
              path: /oauth/health
              port: 80
            initialDelaySeconds: 3
            timeoutSeconds: 2
          readinessProbe:
            httpGet:
              path: /oauth/health
              port: 80
            initialDelaySeconds: 3
            timeoutSeconds: 2
---
apiVersion: v1
kind: Service
metadata:
  name: kubernetes-dashboard-proxy
spec:
  ports:
  - port: 80
    protocol: TCP
    targetPort: 80
  selector:
    app: kubernetes-dashboard-proxy
  type: ClusterIP

出所： habr.com