ພວກເຮົາເຊື່ອມຕໍ່ການອະນຸຍາດ ActiveDirectory ກັບ Kubernetes ໂດຍໃຊ້ Keycloak

ບົດ​ຄວາມ​ນີ້​ໄດ້​ຖືກ​ລາຍ​ລັກ​ອັກ​ສອນ​ໂດຍ​ມີ​ຈຸດ​ປະ​ສົງ​ຂອງ​ການ​ຂະ​ຫຍາຍ​ຕົວ​ແລ້ວ​ ທີ່ມີຢູ່ແລ້ວ, ແຕ່ເວົ້າກ່ຽວກັບລັກສະນະຂອງການເຊື່ອມຕໍ່ໂດຍສະເພາະກັບ Microsoft ActiveDirectory, ແລະຍັງປະກອບມັນ.

ໃນ​ບົດ​ຄວາມ​ນີ້​ຂ້າ​ພະ​ເຈົ້າ​ຈະ​ບອກ​ທ່ານ​ວິ​ທີ​ການ​ຕິດ​ຕັ້ງ​ແລະ​ການ​ຕັ້ງ​ຄ່າ​:

• ກະແຈ ເປັນໂຄງການແຫຼ່ງເປີດ. ເຊິ່ງສະຫນອງຈຸດເຂົ້າດຽວສໍາລັບຄໍາຮ້ອງສະຫມັກ. ເຮັດວຽກກັບຫຼາຍໂປໂຕຄອນ, ລວມທັງ LDAP ແລະ OpenID, ເຊິ່ງພວກເຮົາສົນໃຈ.
• ຜູ້ຮັກສາປະຕູຄີ — ຄໍາຮ້ອງສະຫມັກຕົວແທນ reverse ທີ່ອະນຸຍາດໃຫ້ທ່ານສາມາດປະສົມປະສານການອະນຸຍາດຜ່ານ Keycloak.
• Gangway — ແອັບພລິເຄຊັນທີ່ສ້າງ config ສໍາລັບ kubectl ທີ່ທ່ານສາມາດເຂົ້າສູ່ລະບົບຜ່ານ OpenID ແລະເຊື່ອມຕໍ່ກັບ Kubernetes API.

ການອະນຸຍາດເຮັດວຽກແນວໃດໃນ Kubernetes.

ພວກ​ເຮົາ​ສາ​ມາດ​ຄຸ້ມ​ຄອງ​ສິດ​ຂອງ​ຜູ້​ໃຊ້ / ກຸ່ມ​ໂດຍ​ການ​ນໍາ​ໃຊ້ RBAC​, ຊໍ່​ຂອງ​ບົດ​ຄວາມ​ໄດ້​ຖືກ​ສ້າງ​ຂຶ້ນ​ແລ້ວ​ກ່ຽວ​ກັບ​ການ​ນີ້​, ຂ້າ​ພະ​ເຈົ້າ​ຈະ​ບໍ່​ຢູ່​ໃນ​ລາຍ​ລະ​ອຽດ​. ບັນຫາແມ່ນວ່າທ່ານສາມາດນໍາໃຊ້ RBAC ເພື່ອຈໍາກັດສິດຂອງຜູ້ໃຊ້, ແຕ່ Kubernetes ບໍ່ຮູ້ຫຍັງກ່ຽວກັບຜູ້ໃຊ້. ມັນປະກົດວ່າພວກເຮົາຕ້ອງການກົນໄກການຈັດສົ່ງຜູ້ໃຊ້ໃນ Kubernetes. ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາຈະເພີ່ມຜູ້ໃຫ້ບໍລິການໃສ່ Kuberntes OpenID, ເຊິ່ງຈະຊີ້ໃຫ້ເຫັນວ່າຜູ້ໃຊ້ດັ່ງກ່າວມີຢູ່ແທ້ໆ, ແລະ Kubernetes ເອງຈະໃຫ້ສິດແກ່ລາວ.

ການ​ຝຶກ​ອົບ​ຮົມ

• ທ່ານຈະຕ້ອງມີກຸ່ມ Kubernetes ຫຼື minikube
• Active Directory
• ໂດເມນ:
  keycloak.example.org
  kubernetes-dashboard.example.org
  gangway.example.org
• ໃບຢັ້ງຢືນສໍາລັບໂດເມນຫຼືໃບຢັ້ງຢືນການເຊັນດ້ວຍຕົນເອງ

ຂ້າ​ພະ​ເຈົ້າ​ຈະ​ບໍ່​ໄດ້​ເຂົ້າ​ໄປ​ໃນ​ລະ​ອຽດ​ກ່ຽວ​ກັບ​ວິ​ທີ​ການ​ສ້າງ​ໃບ​ຢັ້ງ​ຢືນ​ການ​ເຊັນ​ດ້ວຍ​ຕົນ​ເອງ; ທ່ານ​ຈໍາ​ເປັນ​ຕ້ອງ​ໄດ້​ສ້າງ 2 ໃບ​ຢັ້ງ​ຢືນ, ນີ້​ແມ່ນ​ຮາກ (Certification Authority) ແລະ​ຕົວ​ແທນ​ຂອງ​ລູກ​ຄ້າ​ສໍາ​ລັບ​ໂດ​ເມນ *.example.org.

ຫຼັງ​ຈາກ​ທີ່​ທ່ານ​ໄດ້​ຮັບ / ຂຽນ​ໃບ​ຢັ້ງ​ຢືນ​ການ​, ທ່ານ​ຈໍາ​ເປັນ​ຕ້ອງ​ເພີ່ມ​ໃບ​ຢັ້ງ​ຢືນ​ການ​ລູກ​ຄ້າ​ກັບ Kubernetes​; ເພື່ອ​ເຮັດ​ສິ່ງ​ນີ້​, ສ້າງ​ຄວາມ​ລັບ​ສໍາ​ລັບ​ມັນ​:

kubectl create secret tls tls-keycloak --cert=example.org.crt --key=example.org.pem

ຕໍ່ໄປພວກເຮົາຈະໃຊ້ມັນສໍາລັບຕົວຄວບຄຸມ Ingress ຂອງພວກເຮົາ

ການຕິດຕັ້ງ Keycloak

ຂ້າພະເຈົ້າໄດ້ຕັດສິນໃຈວ່າວິທີທີ່ງ່າຍທີ່ສຸດແມ່ນການໃຊ້ວິທີແກ້ໄຂທີ່ກຽມພ້ອມສໍາລັບການນີ້, ຄືຕາຕະລາງຫມວກກັນກະທົບ.

ຕິດ​ຕັ້ງ repository ແລະ​ປັບ​ປຸງ​ມັນ​:

helm repo add codecentric https://codecentric.github.io/helm-charts
helm repo update

ສ້າງໄຟລ໌ keycloak.yml ທີ່ມີເນື້ອຫາຕໍ່ໄປນີ້:

keycloak.yml

keycloak:
  # Имя администратора
  username: "test_admin"
  # Пароль администратор  
  password: "admin"
  # Эти флаги нужны что бы позволить загружать в Keycloak скрипты прямо через web морду. Это нам 
  понадобиться что бы починить один баг, о котором ниже.
  extraArgs: "-Dkeycloak.profile.feature.script=enabled -Dkeycloak.profile.feature.upload_scripts=enabled" 
  # Включаем ingress, указываем имя хоста и сертификат который мы предварительно сохранили в secrets
  ingress:
    enabled: true 
    path: /
    annotations:
      kubernetes.io/ingress.class: nginx
      ingress.kubernetes.io/affinity: cookie
    hosts:
      - keycloak.example.org
    tls:
    - hosts:
        - keycloak.example.org
      secretName: tls-keycloak
  # Keycloak для своей работы требует базу данных, в тестовых целях я разворачиваю Postgresql прямо в Kuberntes, в продакшене так лучше не делать!
  persistence:
    deployPostgres: true
    dbVendor: postgres

postgresql:
  postgresUser: keycloak
  postgresPassword: ""
  postgresDatabase: keycloak
  persistence:
    enabled: true

ການຕັ້ງຄ່າສະຫະພັນ

ຕໍ່ໄປ, ໄປທີ່ການໂຕ້ຕອບຂອງເວັບໄຊຕ໌ keycloak.example.org

ໃນມຸມຊ້າຍຄລິກ ເພີ່ມເຂດ

ທີ່ສໍາຄັນ
ມູນຄ່າ

ຊື່
kubernetes

Display Name
Kubernetes

ປິດການໃຊ້ງານການກວດສອບການຢືນຢັນອີເມລ໌ຂອງຜູ້ໃຊ້:
ຂອບ​ເຂດ​ລູກ​ຄ້າ —​> ອີ​ເມລ​໌ —​> Mappers —​> Email ກວດ​ສອບ (ລຶບ​)

ພວກເຮົາກໍາລັງສ້າງຕັ້ງສະຫະພັນເພື່ອນໍາເຂົ້າຜູ້ໃຊ້ຈາກ ActiveDirectory, ຂ້າພະເຈົ້າຈະອອກຈາກ screenshots ຂ້າງລຸ່ມນີ້, ຂ້າພະເຈົ້າຄິດວ່າມັນຈະຊັດເຈນກວ່າ.

ສະຫະພັນຜູ້ໃຊ້ —> ເພີ່ມຜູ້ໃຫ້ບໍລິການ… —> ldap

ການຕັ້ງຄ່າສະຫະພັນ


ຖ້າທຸກສິ່ງທຸກຢ່າງດີ, ຫຼັງຈາກນັ້ນຫຼັງຈາກກົດປຸ່ມ ຊິ້ງຂໍ້ມູນຜູ້ໃຊ້ທັງໝົດ ທ່ານຈະເຫັນຂໍ້ຄວາມທີ່ຊີ້ໃຫ້ເຫັນເຖິງການນໍາເຂົ້າສົບຜົນສໍາເລັດຂອງຜູ້ໃຊ້.

ຕໍ່ໄປ, ພວກເຮົາຈໍາເປັນຕ້ອງສ້າງແຜນທີ່ກຸ່ມຂອງພວກເຮົາ

ສະຫະພັນຜູ້ໃຊ້ -> ldap_localhost -> Mappers -> ສ້າງ

ການສ້າງແຜນທີ່

ການ​ຕັ້ງ​ຄ່າ​ລູກ​ຄ້າ​

ທ່ານຈໍາເປັນຕ້ອງສ້າງລູກຄ້າ, ໃນເງື່ອນໄຂຂອງ Keycloak ນີ້ແມ່ນຄໍາຮ້ອງສະຫມັກທີ່ຈະໄດ້ຮັບການອະນຸຍາດຈາກມັນ. ຂ້ອຍຈະເນັ້ນຈຸດສໍາຄັນໃນສີແດງໃນຫນ້າຈໍ.

ລູກຄ້າ -> ສ້າງ

ການ​ຕັ້ງ​ຄ່າ​ລູກ​ຄ້າ​

ໃຫ້ພວກເຮົາສ້າງ scoupe ສໍາລັບກຸ່ມ:

ຂອບເຂດລູກຄ້າ -> ສ້າງ

ການສ້າງຂອບເຂດ

ແລະ​ຕັ້ງ​ແຜນ​ທີ່​ສໍາ​ລັບ​ເຂົາ​ເຈົ້າ​:

ຂອບເຂດລູກຄ້າ -> ກຸ່ມ -> Mappers -> ສ້າງ

ແຜນທີ່

ພວກເຮົາເພີ່ມການສ້າງແຜນທີ່ກຸ່ມຂອງພວກເຮົາໃສ່ຂອບເຂດລູກຄ້າເລີ່ມຕົ້ນ:

ລູກຄ້າ -> kubernetes -> ຂອບເຂດລູກຄ້າ -> ຂອບເຂດລູກຄ້າເລີ່ມຕົ້ນ
ເລືອກ ກຸ່ມ в ຂອບເຂດລູກຄ້າທີ່ມີຢູ່, ກົດ ເພີ່ມທີ່ເລືອກ

ພວກເຮົາໄດ້ຮັບຄວາມລັບ (ແລະຂຽນມັນລົງບ່ອນໃດບ່ອນຫນຶ່ງ) ທີ່ພວກເຮົາຈະໃຊ້ສໍາລັບການອະນຸຍາດໃນ Keycloak:

ລູກຄ້າ -> kubernetes -> ຂໍ້ມູນປະຈໍາຕົວ -> ຄວາມລັບ
ນີ້ເຮັດສໍາເລັດການຕິດຕັ້ງ, ແຕ່ຂ້ອຍມີຂໍ້ຜິດພາດເມື່ອ, ຫຼັງຈາກການອະນຸມັດສົບຜົນສໍາເລັດ, ຂ້ອຍໄດ້ຮັບຂໍ້ຜິດພາດ 403. ລາຍງານຂໍ້ຜິດພາດ.

ແກ້ໄຂ:

ຂອບເຂດລູກຄ້າ -> ພາລະບົດບາດ -> Mappers -> ສ້າງ

ຜູ້ສ້າງແຜນທີ່

ລະຫັດສະຄຣິບ

// add current client-id to token audience
token.addAudience(token.getIssuedFor());

// return token issuer as dummy result assigned to iss again
token.getIssuer();

ກຳນົດຄ່າ Kubernetes

ພວກເຮົາຈໍາເປັນຕ້ອງຊີ້ບອກບ່ອນທີ່ໃບຢັ້ງຢືນຮາກຂອງພວກເຮົາຈາກສະຖານທີ່ຕັ້ງຢູ່, ແລະບ່ອນທີ່ຜູ້ໃຫ້ບໍລິການ OIDC ຕັ້ງຢູ່.
ເພື່ອເຮັດສິ່ງນີ້, ແກ້ໄຂໄຟລ໌ /etc/kubernetes/manifests/kube-apiserver.yaml.

kube-apiserver.yaml

...
spec:
  containers:
  - command:
    - kube-apiserver
...
    - --oidc-ca-file=/var/lib/minikube/certs/My_Root.crt
    - --oidc-client-id=kubernetes
    - --oidc-groups-claim=groups
    - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes
    - --oidc-username-claim=email
...

ອັບເດດການຕັ້ງຄ່າ kubeadm ໃນກຸ່ມ:

kubeadm config

kubectl edit -n kube-system configmaps kubeadm-config

...
data:
  ClusterConfiguration: |
    apiServer:
      extraArgs:
        oidc-ca-file: /var/lib/minikube/certs/My_Root.crt
        oidc-client-id: kubernetes
        oidc-groups-claim: groups
        oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes
        oidc-username-claim: email
...

ການຕິດຕັ້ງ auth-proxy

ເພື່ອປົກປ້ອງຄໍາຮ້ອງສະຫມັກເວັບໄຊຕ໌ຂອງທ່ານ, ທ່ານສາມາດນໍາໃຊ້ keycloak gatekeeper. ນອກເຫນືອຈາກຄວາມຈິງທີ່ວ່າຕົວແທນ reverse ນີ້ຈະອະນຸຍາດໃຫ້ຜູ້ໃຊ້ກ່ອນທີ່ຈະສະແດງຫນ້າ, ມັນຍັງຈະສົ່ງຂໍ້ມູນກ່ຽວກັບເຈົ້າຢູ່ໃນສ່ວນຫົວໄປຫາແອັບພລິເຄຊັນສຸດທ້າຍ. ດັ່ງນັ້ນ, ຖ້າຄໍາຮ້ອງສະຫມັກຂອງທ່ານສະຫນັບສະຫນູນ OpenID, ຜູ້ໃຊ້ໄດ້ຮັບອະນຸຍາດທັນທີ. ໃຫ້ເບິ່ງຕົວຢ່າງຂອງ Kubernetes Dashboard

ກຳລັງຕິດຕັ້ງ Kubernetes Dashboard

helm install stable/kubernetes-dashboard --name dashboard -f values_dashboard.yaml

values_dashboard.yaml

enableInsecureLogin: true
service:
  externalPort: 80
rbac:
  clusterAdminRole: true
  create: true
serviceAccount:
  create: true
  name: 'dashboard-test'

ການ​ຕັ້ງ​ຄ່າ​ສິດ​ການ​ເຂົ້າ​ເຖິງ​:

ມາສ້າງ ClusterRoleBinding ທີ່ຈະໃຫ້ສິດບໍລິຫານກຸ່ມ (ມາດຕະຖານ ClusterRole cluster-admin) ສໍາລັບຜູ້ໃຊ້ໃນກຸ່ມ DataOPS.

kubectl apply -f rbac.yaml

rbac.yaml

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: dataops_group
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: DataOPS

ການ​ຕິດ​ຕັ້ງ keycloak gatekeeper​:

helm repo add gabibbo97 https://gabibbo97.github.io/charts/
helm repo update
helm install gabibbo97/keycloak-gatekeeper --version 2.1.0 --name keycloak-gatekeeper -f values_proxy.yaml

values_proxy.yaml

# Включаем ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
  path: /
  hosts:
    - kubernetes-dashboard.example.org
  tls:
   - secretName: tls-keycloak
     hosts:
       - kubernetes-dashboard.example.org

# Говорим где мы будем авторизовываться у OIDC провайдера
discoveryURL: "https://keycloak.example.org/auth/realms/kubernetes"
# Имя клиента которого мы создали в Keycloak
ClientID: "kubernetes"
# Secret который я просил записать
ClientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
# Куда перенаправить в случае успешной авторизации. Формат <SCHEMA>://<SERVICE_NAME>.><NAMESAPCE>.<CLUSTER_NAME>
upstreamURL: "http://dashboard-kubernetes-dashboard.default.svc.cluster.local"
# Пропускаем проверку сертификата, если у нас самоподписанный
skipOpenidProviderTlsVerify: true
# Настройка прав доступа, пускаем на все path если мы в группе DataOPS
rules:
  - "uri=/*|groups=DataOPS"

ຫຼັງຈາກນັ້ນ, ເມື່ອທ່ານພະຍາຍາມເຂົ້າສູ່ລະບົບ kubernetes-dashboard.example.org, ການປ່ຽນເສັ້ນທາງໄປຫາ Keycloak ຈະເກີດຂຶ້ນແລະຖ້າການອະນຸຍາດປະສົບຜົນສໍາເລັດ, ພວກເຮົາຈະຖືກນໍາໄປຫາ Dashboard ທີ່ເຂົ້າສູ່ລະບົບແລ້ວ.

ການຕິດຕັ້ງ Gangway

ເພື່ອຄວາມສະດວກ, ທ່ານສາມາດເພີ່ມ gangway ທີ່ຈະສ້າງໄຟລ໌ config ສໍາລັບ kubectl, ດ້ວຍການຊ່ວຍເຫຼືອທີ່ພວກເຮົາຈະເຂົ້າໄປໃນ Kubernetes ພາຍໃຕ້ຜູ້ໃຊ້ຂອງພວກເຮົາ.

helm install --name gangway stable/gangway -f values_gangway.yaml

values_gangway.yaml

gangway:
  # Произвольное имя кластера
  clusterName: "my-k8s"
  # Где у нас OIDC провайдер
  authorizeURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/auth"
  tokenURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/token"
  audience: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/userinfo"
  # Теоритически сюда можно добавить groups которые мы замапили
  scopes: ["openid", "profile", "email", "offline_access"]
  redirectURL: "https://gangway.example.org/callback"
  # Имя клиента
  clientID: "kubernetes"
  # Секрет
  clientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
  # Если оставить дефолтное значние, то за имя пользователя будет братья <b>Frist name</b> <b>Second name</b>, а при "sub" его логин
  usernameClaim: "sub"
  # Доменное имя или IP адресс API сервера
  apiServerURL: "https://192.168.99.111:8443"

# Включаем Ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/proxy-buffer-size: "64k"
  path: /
  hosts:
  - gangway.example.org
  tls:
  - secretName: tls-keycloak
    hosts:
      - gangway.example.org

# Если используем самоподписанный сертификат, то его(открытый корневой сертификат) надо указать.
trustedCACert: |-
 -----BEGIN CERTIFICATE-----
 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
 -----END CERTIFICATE-----

ມັນເບິ່ງຄືວ່າບາງສິ່ງບາງຢ່າງເຊັ່ນນີ້. ອະນຸຍາດໃຫ້ທ່ານສາມາດດາວໂຫລດໄຟລ໌ config ທັນທີແລະສ້າງມັນໂດຍໃຊ້ຊຸດຄໍາສັ່ງ:

ແຫຼ່ງຂໍ້ມູນ: www.habr.com