ჩვენ ვამაგრებთ ActiveDirectory ავტორიზაციას Kubernetes-ზე Keycloak-ის გამოყენებით

ეს სტატია დაიწერა უკვე გასაფართოებლად არსებული, მაგრამ საუბრობს პაკეტის მახასიათებლებზე Microsoft ActiveDirectory-თან და ასევე ავსებს მას.

ამ სტატიაში მე გეტყვით როგორ დააინსტალიროთ და დააკონფიგურიროთ:

• კლავიატურა არის ღია კოდის პროექტი. რომელიც უზრუნველყოფს აპლიკაციების შესვლის ერთ წერტილს. მუშაობს ბევრ პროტოკოლთან, მათ შორის LDAP და OpenID, რომლებიც გვაინტერესებს.
• კლავიშის კარიბჭე - საპირისპირო მარიონეტული პროგრამა, რომელიც საშუალებას გაძლევთ ინტეგრიროთ ავტორიზაცია Keycloak-ის საშუალებით.
• განგუეი - აპლიკაცია, რომელიც ქმნის kubectl-ის კონფიგურაციას, რომლითაც შეგიძლიათ შეხვიდეთ და დაუკავშირდეთ Kubernetes API-ს OpenID-ის საშუალებით.

როგორ მუშაობს ნებართვები Kubernetes-ში.

ჩვენ შეგვიძლია ვმართოთ მომხმარებლის / ჯგუფის უფლებები RBAC-ის გამოყენებით, ამის შესახებ უკვე შეიქმნა სტატიების მთელი რიგი, ამაზე დეტალურად არ ვისაუბრებ. პრობლემა ის არის, რომ თქვენ შეგიძლიათ გამოიყენოთ RBAC მომხმარებლის უფლებების შესაზღუდად, მაგრამ Kubernetes-მა არაფერი იცის მომხმარებლების შესახებ. გამოდის, რომ ჩვენ გვჭირდება მომხმარებლის მიწოდების მექანიზმი Kubernetes-ში. ამისთვის Kuberntes OpenID-ს დავამატებთ პროვაიდერს, რომელიც იტყვის, რომ ასეთი მომხმარებელი ნამდვილად არსებობს და თავად Kubernetes მისცემს მას უფლებებს.

სასწავლო

• დაგჭირდებათ Kubernetes კლასტერი ან მინიკუბი
• Active Directory
• დომენები:
  keycloak.example.org
  kubernetes-dashboard.example.org
  gangway.example.org
• სერთიფიკატი დომენებისთვის ან ხელმოწერილი სერტიფიკატი

მე არ ვისაუბრებ იმაზე, თუ როგორ შევქმნათ ხელმოწერილი სერტიფიკატი, თქვენ უნდა შექმნათ 2 სერთიფიკატი, ეს არის root (სერთიფიკატის ავტორიტეტი) და wildcard კლიენტი *.example.org დომენისთვის.

სერთიფიკატების მიღების/გაცემის შემდეგ, კლიენტი უნდა დაემატოს Kubernetes-ს, ამისათვის ჩვენ ვქმნით საიდუმლოებას:

kubectl create secret tls tls-keycloak --cert=example.org.crt --key=example.org.pem

შემდეგი, ჩვენ გამოვიყენებთ მას ჩვენი Ingress კონტროლერისთვის.

Keycloak ინსტალაცია

მე გადავწყვიტე, რომ უმარტივესი გზაა ამისათვის მზა გადაწყვეტილებების გამოყენება, კერძოდ, საჭის დიაგრამები.

დააინსტალირეთ საცავი და განაახლეთ იგი:

helm repo add codecentric https://codecentric.github.io/helm-charts
helm repo update

შექმენით keycloak.yml ფაილი შემდეგი შინაარსით:

keycloak.yml

keycloak:
  # Имя администратора
  username: "test_admin"
  # Пароль администратор  
  password: "admin"
  # Эти флаги нужны что бы позволить загружать в Keycloak скрипты прямо через web морду. Это нам 
  понадобиться что бы починить один баг, о котором ниже.
  extraArgs: "-Dkeycloak.profile.feature.script=enabled -Dkeycloak.profile.feature.upload_scripts=enabled" 
  # Включаем ingress, указываем имя хоста и сертификат который мы предварительно сохранили в secrets
  ingress:
    enabled: true 
    path: /
    annotations:
      kubernetes.io/ingress.class: nginx
      ingress.kubernetes.io/affinity: cookie
    hosts:
      - keycloak.example.org
    tls:
    - hosts:
        - keycloak.example.org
      secretName: tls-keycloak
  # Keycloak для своей работы требует базу данных, в тестовых целях я разворачиваю Postgresql прямо в Kuberntes, в продакшене так лучше не делать!
  persistence:
    deployPostgres: true
    dbVendor: postgres

postgresql:
  postgresUser: keycloak
  postgresPassword: ""
  postgresDatabase: keycloak
  persistence:
    enabled: true

ფედერაციის დაყენება

შემდეგი, გადადით ვებ ინტერფეისზე keycloak.example.org

დააჭირეთ მარცხენა კუთხეში დაამატეთ სფერო

ძირითადი
ღირებულება

სახელი
კუბერნეტები

ჩვენების სახელი
კუბერნეტები

მომხმარებლის ელფოსტის დადასტურების გამორთვა:
კლიენტის ფარგლები —> ელფოსტა —> რუქები —> დადასტურებული ელფოსტა (წაშლა)

ჩვენ შევქმენით ფედერაცია ActiveDirectory-დან მომხმარებლების იმპორტისთვის, ქვემოთ დავტოვებ სკრინშოტებს, მგონი უფრო გასაგები იქნება.

მომხმარებლის ფედერაცია —> პროვაიდერის დამატება… —> ldap

ფედერაციის დაყენება


თუ ყველაფერი კარგადაა, მაშინ ღილაკზე დაჭერის შემდეგ ყველა მომხმარებლის სინქრონიზაცია თქვენ ნახავთ შეტყობინებას მომხმარებლების წარმატებული იმპორტის შესახებ.

შემდეგ ჩვენ უნდა გავაფორმოთ ჩვენი ჯგუფები

მომხმარებლის ფედერაცია --> ldap_localhost --> Mappers --> შექმნა

რუქის შექმნა

კლიენტის დაყენება

აუცილებელია კლიენტის შექმნა, Keycloak-ის თვალსაზრისით, ეს არის მისგან ავტორიზებული აპლიკაცია. მე ხაზს ვუსვამ სკრინშოტში არსებულ მნიშვნელოვან პუნქტებს წითლად.

კლიენტები —> შექმნა

კლიენტის დაყენება

მოდით შევქმნათ სკუპი ჯგუფებისთვის:

კლიენტის სფეროები —> შექმნა

შექმენით ფარგლები

და შექმენით რუქის შედგენა მათთვის:

Client Scopes —> ჯგუფები —> Mappers —> შექმნა

რუკების მიმღები

დაამატეთ ჩვენი ჯგუფების რუკების ნაგულისხმევი კლიენტის არეალი:

Clients —> kubernetes —> Client Scopes —> Default Client Scopes
აირჩიეთ ჯგუფები в ხელმისაწვდომი კლიენტის ფარგლებიდააჭირეთ დაამატეთ არჩეული

ჩვენ ვიღებთ საიდუმლოებას (და ვწერთ მას თემაში), რომელსაც გამოვიყენებთ ავტორიზაციისთვის Keycloak-ში:

კლიენტები —> kubernetes —> სერთიფიკატები —> საიდუმლო
ეს დაასრულებს დაყენებას, მაგრამ მე მქონდა შეცდომა, როდესაც წარმატებული ავტორიზაციის შემდეგ მივიღე შეცდომა 403. შეცდომის ანგარიში.

შესწორება:

Client Scopes —> როლები —> Mappers —> შექმნა

შემქმნელი

სკრიპტის კოდი

// add current client-id to token audience
token.addAudience(token.getIssuedFor());

// return token issuer as dummy result assigned to iss again
token.getIssuer();

Kubernetes-ის კონფიგურაცია

ჩვენ უნდა განვსაზღვროთ სად მდებარეობს ჩვენი root სერტიფიკატი საიტიდან და სად მდებარეობს OIDC პროვაიდერი.
ამისათვის შეცვალეთ ფაილი /etc/kubernetes/manifests/kube-apiserver.yaml

kube-apiserver.yaml

...
spec:
  containers:
  - command:
    - kube-apiserver
...
    - --oidc-ca-file=/var/lib/minikube/certs/My_Root.crt
    - --oidc-client-id=kubernetes
    - --oidc-groups-claim=groups
    - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes
    - --oidc-username-claim=email
...

განაახლეთ kubeadm კონფიგურაცია კლასტერში:

kubeadmconfig

kubectl edit -n kube-system configmaps kubeadm-config

...
data:
  ClusterConfiguration: |
    apiServer:
      extraArgs:
        oidc-ca-file: /var/lib/minikube/certs/My_Root.crt
        oidc-client-id: kubernetes
        oidc-groups-claim: groups
        oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes
        oidc-username-claim: email
...

ავტორიზაციის პროქსის დაყენება

თქვენ შეგიძლიათ გამოიყენოთ keycloak gatekeeper თქვენი ვებ აპლიკაციის დასაცავად. გარდა იმისა, რომ ეს საპირისპირო პროქსი მომხმარებელს ავტორიზაციას გაუწევს გვერდის ჩვენებამდე, ის ასევე გადასცემს თქვენს შესახებ ინფორმაციას ბოლო აპლიკაციას სათაურებში. ამრიგად, თუ თქვენი აპლიკაცია მხარს უჭერს OpenID-ს, მაშინ მომხმარებელი დაუყოვნებლივ არის ავტორიზებული. განვიხილოთ Kubernetes Dashboard-ის მაგალითი

Kubernetes Dashboard-ის ინსტალაცია

helm install stable/kubernetes-dashboard --name dashboard -f values_dashboard.yaml

values_dashboard.yaml

enableInsecureLogin: true
service:
  externalPort: 80
rbac:
  clusterAdminRole: true
  create: true
serviceAccount:
  create: true
  name: 'dashboard-test'

წვდომის უფლებების დაყენება:

მოდით შევქმნათ ClusterRoleBinding, რომელიც მისცემს კლასტერს ადმინისტრატორის უფლებებს (სტანდარტული ClusterRole კლასტერ-ადმინისტრატორი) მომხმარებლებისთვის DataOPS ჯგუფში.

kubectl apply -f rbac.yaml

rbac.yaml

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: dataops_group
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: DataOPS

დააინსტალირეთ keycloak gatekeeper:

helm repo add gabibbo97 https://gabibbo97.github.io/charts/
helm repo update
helm install gabibbo97/keycloak-gatekeeper --version 2.1.0 --name keycloak-gatekeeper -f values_proxy.yaml

values_proxy.yaml

# Включаем ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
  path: /
  hosts:
    - kubernetes-dashboard.example.org
  tls:
   - secretName: tls-keycloak
     hosts:
       - kubernetes-dashboard.example.org

# Говорим где мы будем авторизовываться у OIDC провайдера
discoveryURL: "https://keycloak.example.org/auth/realms/kubernetes"
# Имя клиента которого мы создали в Keycloak
ClientID: "kubernetes"
# Secret который я просил записать
ClientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
# Куда перенаправить в случае успешной авторизации. Формат <SCHEMA>://<SERVICE_NAME>.><NAMESAPCE>.<CLUSTER_NAME>
upstreamURL: "http://dashboard-kubernetes-dashboard.default.svc.cluster.local"
# Пропускаем проверку сертификата, если у нас самоподписанный
skipOpenidProviderTlsVerify: true
# Настройка прав доступа, пускаем на все path если мы в группе DataOPS
rules:
  - "uri=/*|groups=DataOPS"

ამის შემდეგ, როცა ცდილობ წასვლას kubernetes-dashboard.example.org, ჩვენ გადამისამართდებით Keycloak-ზე და წარმატებული ავტორიზაციის შემთხვევაში მივიღებთ უკვე შესულ Dashboard-ს.

ბანდის მონტაჟი

მოხერხებულობისთვის შეგიძლიათ დაამატოთ ბანდი, რომელიც წარმოქმნის კონფიგურაციის ფაილს kubectl-ისთვის, რომლის დახმარებით ჩვენ შევალთ Kubernetes-ში ჩვენი მომხმარებლის ქვეშ.

helm install --name gangway stable/gangway -f values_gangway.yaml

values_gangway.yaml

gangway:
  # Произвольное имя кластера
  clusterName: "my-k8s"
  # Где у нас OIDC провайдер
  authorizeURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/auth"
  tokenURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/token"
  audience: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/userinfo"
  # Теоритически сюда можно добавить groups которые мы замапили
  scopes: ["openid", "profile", "email", "offline_access"]
  redirectURL: "https://gangway.example.org/callback"
  # Имя клиента
  clientID: "kubernetes"
  # Секрет
  clientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
  # Если оставить дефолтное значние, то за имя пользователя будет братья <b>Frist name</b> <b>Second name</b>, а при "sub" его логин
  usernameClaim: "sub"
  # Доменное имя или IP адресс API сервера
  apiServerURL: "https://192.168.99.111:8443"

# Включаем Ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/proxy-buffer-size: "64k"
  path: /
  hosts:
  - gangway.example.org
  tls:
  - secretName: tls-keycloak
    hosts:
      - gangway.example.org

# Если используем самоподписанный сертификат, то его(открытый корневой сертификат) надо указать.
trustedCACert: |-
 -----BEGIN CERTIFICATE-----
 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
 -----END CERTIFICATE-----

ასე გამოიყურება. საშუალებას გაძლევთ დაუყოვნებლივ ჩამოტვირთოთ კონფიგურაციის ფაილი და შექმნათ იგი ბრძანებების ნაკრების გამოყენებით:

წყარო: www.habr.com