ກວດສອບຄວາມຖືກຕ້ອງໃນ Kubernetes ໂດຍໃຊ້ GitHub OAuth ແລະ Dex

ຂ້າພະເຈົ້ານໍາສະເຫນີໃຫ້ທ່ານເອົາໃຈໃສ່ເປັນຄໍາແນະນໍາສໍາລັບການສ້າງການເຂົ້າເຖິງກຸ່ມ Kubernetes ໂດຍໃຊ້ Dex, dex-k8s-authenticator ແລະ GitHub.

meme ທ້ອງຖິ່ນຈາກພາສາລັດເຊຍ Kubernetes ສົນທະນາໃນ ໂທລະເລກ

ການນໍາສະເຫນີ

ພວກເຮົາໃຊ້ Kubernetes ເພື່ອສ້າງສະພາບແວດລ້ອມແບບເຄື່ອນໄຫວສໍາລັບການພັດທະນາ ແລະທີມງານ QA. ດັ່ງນັ້ນພວກເຮົາຕ້ອງການໃຫ້ພວກເຂົາເຂົ້າເຖິງກຸ່ມສໍາລັບທັງ dashboard ແລະ kubectl. ບໍ່ເຫມືອນກັບ OpenShift, vanilla Kubernetes ບໍ່ມີການພິສູດຢືນຢັນຕົ້ນສະບັບ, ດັ່ງນັ້ນພວກເຮົາໃຊ້ເຄື່ອງມືພາກສ່ວນທີສາມສໍາລັບການນີ້.

ໃນ​ການ​ຕັ້ງ​ຄ່າ​ນີ້​ພວກ​ເຮົາ​ນໍາ​ໃຊ້​:

• dex-k8s-authenticator  - ຄໍາຮ້ອງສະຫມັກເວັບໄຊຕ໌ສໍາລັບການສ້າງ kubectl config
• Dex — ຜູ້ໃຫ້ບໍລິ OpenID Connect
• GitHub - ພຽງແຕ່ຍ້ອນວ່າພວກເຮົາໃຊ້ GitHub ໃນບໍລິສັດຂອງພວກເຮົາ

ພວກເຮົາໄດ້ພະຍາຍາມໃຊ້ Google ODC, ແຕ່ຫນ້າເສຍດາຍທີ່ພວກເຮົາ ລົ້ມເຫຼວ ເພື່ອເລີ່ມຕົ້ນໃຫ້ເຂົາເຈົ້າກັບກຸ່ມ, ດັ່ງນັ້ນການເຊື່ອມໂຍງກັບ GitHub ເຫມາະສົມກັບພວກເຮົາດີ. ຖ້າບໍ່ມີການສ້າງແຜນທີ່ກຸ່ມ, ມັນຈະບໍ່ສາມາດສ້າງນະໂຍບາຍ RBAC ໂດຍອີງໃສ່ກຸ່ມ.

ດັ່ງນັ້ນ, ຂະບວນການອະນຸຍາດ Kubernetes ຂອງພວກເຮົາເຮັດວຽກແນວໃດໃນການສະແດງພາບ:

ຂະບວນການອະນຸຍາດ

ລາຍ​ລະ​ອຽດ​ເລັກ​ນ້ອຍ​ແລະ​ຈຸດ​ໂດຍ​ຈຸດ​:

1. ຜູ້ໃຊ້ເຂົ້າສູ່ລະບົບ dex-k8s-authenticator (login.k8s.example.com)
2. dex-k8s-authenticator ສົ່ງຕໍ່ຄໍາຮ້ອງຂໍໃຫ້ Dex (dex.k8s.example.com)
3. Dex ປ່ຽນເສັ້ນທາງໄປຫາຫນ້າເຂົ້າສູ່ລະບົບ GitHub
4. GitHub ສ້າງຂໍ້ມູນການອະນຸຍາດທີ່ຈໍາເປັນແລະສົ່ງຄືນໃຫ້ Dex
5. Dex ສົ່ງຂໍ້ມູນທີ່ໄດ້ຮັບໄປໃຫ້ dex-k8s-authenticator
6. ຜູ້ໃຊ້ໄດ້ຮັບ token ODC ຈາກ GitHub
7. dex-k8s-authenticator ເພີ່ມ token ກັບ kubeconfig
8. kubectl ຜ່ານ token ໄປຫາ KubeAPIServer
9. KubeAPIServer ກັບຄືນການເຂົ້າເຖິງ kubectl ໂດຍອີງໃສ່ token ທີ່ຜ່ານ
10. ຜູ້ໃຊ້ໄດ້ຮັບການເຂົ້າເຖິງຈາກ kubectl

ການກະກຽມການກະກຽມ

ແນ່ນອນ, ພວກເຮົາມີກຸ່ມ Kubernetes ຕິດຕັ້ງແລ້ວ (k8s.example.com), ແລະຍັງມາພ້ອມກັບ HELM ທີ່ຕິດຕັ້ງໄວ້ກ່ອນ. ພວກເຮົາຍັງມີອົງການຈັດຕັ້ງຢູ່ໃນ GitHub (super-org).
ຖ້າທ່ານບໍ່ມີ HELM, ໃຫ້ຕິດຕັ້ງມັນ ງ່າຍດາຍຫຼາຍ.

ກ່ອນອື່ນ ໝົດ, ພວກເຮົາຕ້ອງຕັ້ງຄ່າ GitHub.

ໄປທີ່ໜ້າການຕັ້ງຄ່າອົງກອນ, (https://github.com/organizations/super-org/settings/applications) ແລະສ້າງແອັບພລິເຄຊັນໃຫມ່ (Authorized OAuth App):

ການສ້າງແອັບພລິເຄຊັນໃຫມ່ໃນ GitHub

ຕື່ມຂໍ້ມູນໃສ່ໃນຊ່ອງທີ່ມີ URL ທີ່ຈໍາເປັນ, ຕົວຢ່າງ:

• URL ໜ້າຫຼັກ: https://dex.k8s.example.com
• URL ໂທກັບຄືນການອະນຸຍາດ: https://dex.k8s.example.com/callback

ຈົ່ງລະມັດລະວັງກັບການເຊື່ອມຕໍ່, ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະບໍ່ສູນເສຍ slashes.

ໃນການຕອບສະຫນອງແບບຟອມທີ່ສໍາເລັດ, GitHub ຈະສ້າງ Client ID и Client secret, ໃຫ້ພວກເຂົາຢູ່ໃນບ່ອນທີ່ປອດໄພ, ພວກເຂົາຈະເປັນປະໂຫຍດຕໍ່ພວກເຮົາ (ຕົວຢ່າງ, ພວກເຮົາໃຊ້ Vault ສໍາ​ລັບ​ການ​ເກັບ​ຮັກ​ສາ​ຄວາມ​ລັບ​)​:

Client ID: 1ab2c3d4e5f6g7h8
Client secret: 98z76y54x32w1

ກະກຽມບັນທຶກ DNS ສໍາລັບໂດເມນຍ່ອຍ login.k8s.example.com и dex.k8s.example.com, ເຊັ່ນດຽວກັນກັບໃບຢັ້ງຢືນ SSL ສໍາລັບ ingress.

ມາສ້າງໃບຢັ້ງຢືນ SSL:

cat <<EOF | kubectl create -f -
apiVersion: certmanager.k8s.io/v1alpha1
kind: Certificate
metadata:
  name: cert-auth-dex
  namespace: kube-system
spec:
  secretName: cert-auth-dex
  dnsNames:
    - dex.k8s.example.com
  acme:
    config:
    - http01:
        ingressClass: nginx
      domains:
      - dex.k8s.example.com
  issuerRef:
    name: le-clusterissuer
    kind: ClusterIssuer
---
apiVersion: certmanager.k8s.io/v1alpha1
kind: Certificate
metadata:
  name: cert-auth-login
  namespace: kube-system
spec:
  secretName: cert-auth-login
  dnsNames:
    - login.k8s.example.com
  acme:
    config:
    - http01:
        ingressClass: nginx
      domains:
      - login.k8s.example.com
  issuerRef:
    name: le-clusterissuer
    kind: ClusterIssuer
EOF
kubectl describe certificates cert-auth-dex -n kube-system
kubectl describe certificates cert-auth-login -n kube-system

ClusterIssuer ທີ່ມີຫົວຂໍ້ le-clusterissuer ຄວນຈະມີຢູ່ແລ້ວ, ແຕ່ຖ້າບໍ່ແມ່ນ, ສ້າງມັນໂດຍໃຊ້ HELM:

helm install --namespace kube-system -n cert-manager stable/cert-manager
cat << EOF | kubectl create -f -
apiVersion: certmanager.k8s.io/v1alpha1
kind: ClusterIssuer
metadata:
  name: le-clusterissuer
  namespace: kube-system
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: [email protected]
    privateKeySecretRef:
      name: le-clusterissuer
    http01: {}
EOF

ການຕັ້ງຄ່າ KubeAPIServer

ເພື່ອໃຫ້ kubeAPIServer ເຮັດວຽກ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ກໍານົດຄ່າ OIDC ແລະປັບປຸງ cluster:

kops edit cluster
...
  kubeAPIServer:
    anonymousAuth: false
    authorizationMode: RBAC
    oidcClientID: dex-k8s-authenticator
    oidcGroupsClaim: groups
    oidcIssuerURL: https://dex.k8s.example.com/
    oidcUsernameClaim: email
kops update cluster --yes
kops rolling-update cluster --yes

ພວກເຮົາໃຊ້ ໂຄບ ສໍາລັບ deploy clusters, ແຕ່ນີ້ເຮັດວຽກທີ່ຄ້າຍຄືກັນສໍາລັບ ຜູ້ຈັດການກຸ່ມອື່ນໆ.

ການຕັ້ງຄ່າ Dex ແລະ dex-k8s-authenticator

ເພື່ອໃຫ້ Dex ເຮັດວຽກ, ທ່ານຈໍາເປັນຕ້ອງມີໃບຢັ້ງຢືນແລະກະແຈຈາກແມ່ແບບ Kubernetes, ໃຫ້ເອົາມັນຈາກບ່ອນນັ້ນ:

sudo cat /srv/kubernetes/ca.{crt,key}
-----BEGIN CERTIFICATE-----
AAAAAAAAAAABBBBBBBBBBCCCCCC
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
DDDDDDDDDDDEEEEEEEEEEFFFFFF
-----END RSA PRIVATE KEY-----

ໃຫ້ພວກເຮົາ clone repository dex-k8s-authenticator:

git clone [email protected]:mintel/dex-k8s-authenticator.git
cd dex-k8s-authenticator/

ການນໍາໃຊ້ໄຟລ໌ຄຸນຄ່າ, ພວກເຮົາສາມາດປັບຄ່າຕົວແປຂອງພວກເຮົາໄດ້ຢ່າງຍືດຫຍຸ່ນ HELM ຕາຕະລາງ.

ໃຫ້ອະທິບາຍການຕັ້ງຄ່າສໍາລັບ Dex:

cat << EOF > values-dex.yml
global:
  deployEnv: prod
tls:
  certificate: |-
    -----BEGIN CERTIFICATE-----
    AAAAAAAAAAABBBBBBBBBBCCCCCC
    -----END CERTIFICATE-----
  key: |-
    -----BEGIN RSA PRIVATE KEY-----
    DDDDDDDDDDDEEEEEEEEEEFFFFFF
    -----END RSA PRIVATE KEY-----
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    kubernetes.io/tls-acme: "true"
  path: /
  hosts:
    - dex.k8s.example.com
  tls:
    - secretName: cert-auth-dex
      hosts:
        - dex.k8s.example.com
serviceAccount:
  create: true
  name: dex-auth-sa
config: |
  issuer: https://dex.k8s.example.com/
  storage: # https://github.com/dexidp/dex/issues/798
    type: sqlite3
    config:
      file: /var/dex.db
  web:
    http: 0.0.0.0:5556
  frontend:
    theme: "coreos"
    issuer: "Example Co"
    issuerUrl: "https://example.com"
    logoUrl: https://example.com/images/logo-250x25.png
  expiry:
    signingKeys: "6h"
    idTokens: "24h"
  logger:
    level: debug
    format: json
  oauth2:
    responseTypes: ["code", "token", "id_token"]
    skipApprovalScreen: true
  connectors:
  - type: github
    id: github
    name: GitHub
    config:
      clientID: $GITHUB_CLIENT_ID
      clientSecret: $GITHUB_CLIENT_SECRET
      redirectURI: https://dex.k8s.example.com/callback
      orgs:
      - name: super-org
        teams:
        - team-red
  staticClients:
  - id: dex-k8s-authenticator
    name: dex-k8s-authenticator
    secret: generatedLongRandomPhrase
    redirectURIs:
      - https://login.k8s.example.com/callback/
envSecrets:
  GITHUB_CLIENT_ID: "1ab2c3d4e5f6g7h8"
  GITHUB_CLIENT_SECRET: "98z76y54x32w1"
EOF

ແລະສໍາລັບ dex-k8s-authenticator:

cat << EOF > values-auth.yml
global:
  deployEnv: prod
dexK8sAuthenticator:
  clusters:
  - name: k8s.example.com
    short_description: "k8s cluster"
    description: "Kubernetes cluster"
    issuer: https://dex.k8s.example.com/
    k8s_master_uri: https://api.k8s.example.com
    client_id: dex-k8s-authenticator
    client_secret: generatedLongRandomPhrase
    redirect_uri: https://login.k8s.example.com/callback/
    k8s_ca_pem: |
      -----BEGIN CERTIFICATE-----
      AAAAAAAAAAABBBBBBBBBBCCCCCC
      -----END CERTIFICATE-----
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    kubernetes.io/tls-acme: "true"
  path: /
  hosts:
    - login.k8s.example.com
  tls:
    - secretName: cert-auth-login
      hosts:
        - login.k8s.example.com
EOF

ຕິດຕັ້ງ Dex ແລະ dex-k8s-authenticator:

helm install -n dex --namespace kube-system --values values-dex.yml charts/dex
helm install -n dex-auth --namespace kube-system --values values-auth.yml charts/dex-k8s-authenticator

ໃຫ້ກວດເບິ່ງການເຮັດວຽກຂອງການບໍລິການ (Dex ຄວນສົ່ງຄືນລະຫັດ 400, ແລະ dex-k8s-autheticator ຄວນກັບຄືນລະຫັດ 200):

curl -sI https://dex.k8s.example.com/callback | head -1
HTTP/2 400
curl -sI https://login.k8s.example.com/ | head -1
HTTP/2 200

ການຕັ້ງຄ່າ RBAC

ພວກເຮົາສ້າງ ClusterRole ສໍາລັບກຸ່ມ, ໃນກໍລະນີຂອງພວກເຮົາທີ່ມີການເຂົ້າເຖິງອ່ານເທົ່ານັ້ນ:

cat << EOF | kubectl create -f -
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cluster-read-all
rules:
  -
    apiGroups:
      - ""
      - apps
      - autoscaling
      - batch
      - extensions
      - policy
      - rbac.authorization.k8s.io
      - storage.k8s.io
    resources:
      - componentstatuses
      - configmaps
      - cronjobs
      - daemonsets
      - deployments
      - events
      - endpoints
      - horizontalpodautoscalers
      - ingress
      - ingresses
      - jobs
      - limitranges
      - namespaces
      - nodes
      - pods
      - pods/log
      - pods/exec
      - persistentvolumes
      - persistentvolumeclaims
      - resourcequotas
      - replicasets
      - replicationcontrollers
      - serviceaccounts
      - services
      - statefulsets
      - storageclasses
      - clusterroles
      - roles
    verbs:
      - get
      - watch
      - list
  - nonResourceURLs: ["*"]
    verbs:
      - get
      - watch
      - list
  - apiGroups: [""]
    resources: ["pods/exec"]
    verbs: ["create"]
EOF

ມາສ້າງການຕັ້ງຄ່າສຳລັບ ClusterRoleBinding:

cat <<EOF | kubectl create -f -
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: dex-cluster-auth
  namespace: kube-system
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-read-all
subjects:
  kind: Group
  name: "super-org:team-red"
EOF

ໃນປັດຈຸບັນພວກເຮົາມີຄວາມພ້ອມສໍາລັບການທົດສອບ.

ການທົດສອບ

ໄປ​ທີ່​ຫນ້າ​ເຂົ້າ​ສູ່​ລະ​ບົບ (https://login.k8s.example.com) ແລະເຂົ້າສູ່ລະບົບໂດຍໃຊ້ບັນຊີ GitHub ຂອງທ່ານ:

ໜ້າເຂົ້າສູ່ລະບົບ

ໜ້າເຂົ້າສູ່ລະບົບຖືກປ່ຽນເສັ້ນທາງໄປຫາ GitHub

 ປະຕິບັດຕາມຄໍາແນະນໍາທີ່ສ້າງຂຶ້ນເພື່ອເຂົ້າເຖິງ

ຫຼັງຈາກການຄັດລອກຈາກຫນ້າເວັບ, ພວກເຮົາສາມາດໃຊ້ kubectl ເພື່ອຈັດການຊັບພະຍາກອນຂອງກຸ່ມຂອງພວກເຮົາ:

kubectl get po
NAME                READY   STATUS    RESTARTS   AGE
mypod               1/1     Running   0          3d

kubectl delete po mypod
Error from server (Forbidden): pods "mypod" is forbidden: User "[email protected]" cannot delete pods in the namespace "default"

ແລະມັນເຮັດວຽກ, ຜູ້ໃຊ້ GitHub ທັງຫມົດໃນອົງການຈັດຕັ້ງຂອງພວກເຮົາສາມາດເຫັນຊັບພະຍາກອນແລະເຂົ້າສູ່ລະບົບ pods, ແຕ່ພວກເຂົາບໍ່ມີສິດທີ່ຈະປ່ຽນພວກມັນ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com