ພວກເຮົາເຊື່ອມຕໍ່ການອະນຸຍາດ LDAP ກັບ Kubernetes

ບົດສອນນ້ອຍໆກ່ຽວກັບວິທີການໃຊ້ Keycloak ເພື່ອເຊື່ອມຕໍ່ Kubernetes ກັບເຊີບເວີ LDAP ຂອງທ່ານແລະຕັ້ງຄ່າການນໍາເຂົ້າຜູ້ໃຊ້ ແລະກຸ່ມ. ນີ້ຈະຊ່ວຍໃຫ້ທ່ານສາມາດຕັ້ງຄ່າ RBAC ສໍາລັບຜູ້ໃຊ້ຂອງທ່ານແລະໃຊ້ auth-proxy ເພື່ອປົກປ້ອງ Kubernetes Dashboard ແລະແອັບພລິເຄຊັນອື່ນໆທີ່ບໍ່ຮູ້ວິທີການອະນຸຍາດໃຫ້ຕົວເອງ.

ການຕິດຕັ້ງ Keycloak

ສົມມຸດວ່າທ່ານມີເຊີບເວີ LDAP ຢູ່ແລ້ວ. ມັນອາດຈະເປັນ Active Directory, FreeIPA, OpenLDAP ຫຼືໃດກໍ່ຕາມ. ຖ້າທ່ານບໍ່ມີເຄື່ອງແມ່ຂ່າຍ LDAP, ຫຼັງຈາກນັ້ນໃນຫຼັກການທ່ານສາມາດສ້າງຜູ້ໃຊ້ໂດຍກົງໃນການໂຕ້ຕອບ Keycloak, ຫຼືນໍາໃຊ້ຜູ້ໃຫ້ບໍລິການ oidc ສາທາລະນະ (Google, Github, Gitlab), ຜົນໄດ້ຮັບຈະເກືອບຄືກັນ.

ກ່ອນອື່ນ ໝົດ, ໃຫ້ຕິດຕັ້ງ Keycloak ຕົວມັນເອງ, ການຕິດຕັ້ງສາມາດປະຕິບັດໄດ້ແຍກຕ່າງຫາກ, ຫຼືໂດຍກົງກັບກຸ່ມ Kubernetes, ຕາມກົດລະບຽບ, ຖ້າທ່ານມີກຸ່ມ Kubernetes ຫຼາຍ, ມັນຈະງ່າຍຕໍ່ການຕິດຕັ້ງມັນແຍກຕ່າງຫາກ. ໃນທາງກົງກັນຂ້າມ, ທ່ານສາມາດນໍາໃຊ້ໄດ້ຕະຫຼອດເວລາ ຕາຕະລາງຫມວກກັນກະທົບຢ່າງເປັນທາງການ ແລະຕິດຕັ້ງມັນໂດຍກົງໃສ່ກຸ່ມຂອງທ່ານ.

ເພື່ອເກັບຮັກສາຂໍ້ມູນ Keycloak, ທ່ານຈະຕ້ອງມີຖານຂໍ້ມູນ. ຄ່າເລີ່ມຕົ້ນແມ່ນ h2 (ຂໍ້ມູນທັງຫມົດຖືກເກັບຮັກສາຢູ່ໃນທ້ອງຖິ່ນ), ແຕ່ວ່າມັນກໍ່ສາມາດນໍາໃຊ້ໄດ້ postgres, mysql ຫຼື mariadb.
ຖ້າທ່ານຍັງຕັດສິນໃຈຕິດຕັ້ງ Keycloak ແຍກຕ່າງຫາກ, ທ່ານສາມາດຊອກຫາຄໍາແນະນໍາລາຍລະອຽດເພີ່ມເຕີມໃນ ເອກະສານທາງການ.

ການຕັ້ງຄ່າສະຫະພັນ

ກ່ອນອື່ນ ໝົດ, ໃຫ້ພວກເຮົາສ້າງອານາຈັກ ໃໝ່. Realm ແມ່ນພື້ນທີ່ຂອງຄໍາຮ້ອງສະຫມັກຂອງພວກເຮົາ. ແຕ່ລະແອັບພລິເຄຊັນສາມາດມີພື້ນທີ່ຂອງຕົນເອງກັບຜູ້ໃຊ້ທີ່ແຕກຕ່າງກັນແລະການຕັ້ງຄ່າການອະນຸຍາດ. ອານາຈັກຕົ້ນສະບັບຖືກນໍາໃຊ້ໂດຍ Keycloak ຕົວຂອງມັນເອງແລະການນໍາໃຊ້ມັນສໍາລັບສິ່ງອື່ນແມ່ນຜິດພາດ.

ຍູ້ ເພີ່ມເຂດ

ທາງເລືອກ
ມູນຄ່າ

ຊື່
kubernetes

Display Name
Kubernetes

ຊື່ສະແດງ HTML
<img src="https://kubernetes.io/images/nav_logo.svg" width="400" >

Kubernetes ໂດຍຄ່າເລີ່ມຕົ້ນຈະກວດເບິ່ງວ່າອີເມວຂອງຜູ້ໃຊ້ໄດ້ຮັບການຢືນຢັນຫຼືບໍ່. ເນື່ອງຈາກພວກເຮົາກໍາລັງໃຊ້ເຄື່ອງແມ່ຂ່າຍ LDAP ຂອງພວກເຮົາເອງ, ການກວດສອບນີ້ຈະກັບຄືນມາເກືອບສະເຫມີ false. ໃຫ້ປິດການເປັນຕົວແທນຂອງການຕັ້ງຄ່ານີ້ໃນ Kubernetes:

ຂອບເຂດລູກຄ້າ -> Email -> ແຜນທີ່ -> ອີເມລ໌ຢັ້ງຢືນແລ້ວ (ລຶບ)

ໃນປັດຈຸບັນໃຫ້ພວກເຮົາສ້າງຕັ້ງສະຫະພັນ, ສໍາລັບນີ້ພວກເຮົາໄປ:

ສະຫະພັນຜູ້ໃຊ້ -> ເພີ່ມຜູ້ໃຫ້ບໍລິການ... -> ldap

ນີ້ແມ່ນຕົວຢ່າງການຕິດຕັ້ງ FreeIPA:

ທາງເລືອກ
ມູນຄ່າ

ຊື່ສະແດງຄອນໂຊນ
freeipa.example.org

ຜູ້ຂາຍ
Red Hat Directory Server

ຄຸນສົມບັດ UUID LDAP
ipauniqueid

URL ການເຊື່ອມຕໍ່
ldaps://freeipa.example.org

ຜູ້ໃຊ້ DN
cn=users,cn=accounts,dc=example,dc=org

ຜູກມັດ DN
uid=keycloak-svc,cn=users,cn=accounts,dc=example,dc=org

ຜູກມັດຂໍ້ມູນປະຈໍາຕົວ
<password>

ອະນຸຍາດການພິສູດຢືນຢັນ Kerberos:
on

ພື້ນທີ່ Kerberos:
EXAMPLE.ORG

ຫຼັກເຊີບເວີ:
HTTP/[email protected]

ແຖບປຸ່ມ:
/etc/krb5.keytab

ຜູ້ໃຊ້ keycloak-svc ຕ້ອງໄດ້ຮັບການສ້າງລ່ວງຫນ້າຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ LDAP ຂອງພວກເຮົາ.

ໃນກໍລະນີຂອງ Active Directory, ພຽງແຕ່ເລືອກ ຜູ້ຂາຍ: Active Directory ແລະການຕັ້ງຄ່າທີ່ຈໍາເປັນຈະຖືກໃສ່ເຂົ້າໄປໃນແບບຟອມໂດຍອັດຕະໂນມັດ.

ຍູ້ ບັນທຶກ

ຕອນນີ້ໃຫ້ເຮົາກ້າວຕໍ່ໄປ:

ສະຫະພັນຜູ້ໃຊ້ -> freeipa.example.org -> ແຜນທີ່ -> ຊື່​ແທ້

ທາງເລືອກ
ມູນຄ່າ

ຄຸນລັກສະນະຂອງ Ldap
givenName

ຕອນນີ້ເປີດໃຊ້ການສ້າງແຜນທີ່ກຸ່ມ:

ສະຫະພັນຜູ້ໃຊ້ -> freeipa.example.org -> ແຜນທີ່ -> ສ້າງ

ທາງເລືອກ
ມູນຄ່າ

ຊື່
groups

ປະເພດແຜນທີ່
group-ldap-mapper

LDAP ກຸ່ມ DN
cn=groups,cn=accounts,dc=example,dc=org

ຍຸດທະສາດການດຶງຂໍ້ມູນກຸ່ມຜູ້ໃຊ້
GET_GROUPS_FROM_USER_MEMBEROF_ATTRIBUTE

ນີ້ເຮັດສໍາເລັດການຕັ້ງຄ່າສະຫະພັນ, ໃຫ້ພວກເຮົາກ້າວໄປສູ່ການຕັ້ງຄ່າລູກຄ້າ.

ການ​ຕັ້ງ​ຄ່າ​ລູກ​ຄ້າ​

ໃຫ້ສ້າງລູກຄ້າໃຫມ່ (ຄໍາຮ້ອງສະຫມັກທີ່ຈະຮັບຜູ້ໃຊ້ຈາກ Keycloak). ໄປ​ກັນ​ເລີຍ:

ລູກຄ້າ -> ສ້າງ

ທາງເລືອກ
ມູນຄ່າ

ID ລູກຄ້າ
kubernetes

ປະເພດການເຂົ້າເຖິງ
confidenrial

URL ຮາກ
http://kubernetes.example.org/

ການປ່ຽນເສັ້ນທາງທີ່ຖືກຕ້ອງ URIs
http://kubernetes.example.org/*

URL ຂອງຜູ້ເບິ່ງແຍງລະບົບ
http://kubernetes.example.org/

ພວກເຮົາຍັງຈະສ້າງຂອບເຂດສໍາລັບກຸ່ມ:

ຂອບເຂດລູກຄ້າ -> ສ້າງ

ທາງເລືອກ
ມູນຄ່າ

ແມ່ແບບ
No template

ຊື່
groups

ເສັ້ນທາງກຸ່ມເຕັມ
false

ແລະ​ຕັ້ງ​ແຜນ​ທີ່​ສໍາ​ລັບ​ເຂົາ​ເຈົ້າ​:

ຂອບເຂດລູກຄ້າ -> ກຸ່ມ -> ແຜນທີ່ -> ສ້າງ

ທາງເລືອກ
ມູນຄ່າ

ຊື່
groups

ປະເພດແຜນທີ່
Group membership

ຊື່ການຮຽກຮ້ອງ Token
groups

ຕອນນີ້ພວກເຮົາຕ້ອງການເປີດໃຊ້ການສ້າງແຜນທີ່ກຸ່ມໃນຂອບເຂດລູກຄ້າຂອງພວກເຮົາ:

ລູກຄ້າ -> kubernetes -> ຂອບເຂດລູກຄ້າ -> ຂອບເຂດລູກຄ້າເລີ່ມຕົ້ນ

ເລືອກ ກຸ່ມ в ຂອບເຂດລູກຄ້າທີ່ມີຢູ່, ກົດ ເພີ່ມທີ່ເລືອກ

ຕອນນີ້ໃຫ້ຕັ້ງຄ່າການພິສູດຢືນຢັນຂອງແອັບພລິເຄຊັນຂອງພວກເຮົາ, ໄປທີ່:

ລູກຄ້າ -> kubernetes

ທາງເລືອກ
ມູນຄ່າ

ເປີດໃຊ້ສິດອະນຸຍາດແລ້ວ
ON

ໃຫ້ຍູ້ save ແລະນີ້ເຮັດໃຫ້ການຕິດຕັ້ງລູກຄ້າສໍາເລັດ, ຕອນນີ້ຢູ່ໃນແຖບ

ລູກຄ້າ -> kubernetes -> Credentials

ເຈົ້າສາມາດໄດ້ຮັບ Secret ທີ່ພວກເຮົາຈະໃຊ້ຕໍ່ມາ.

ກຳນົດຄ່າ Kubernetes

ການຕັ້ງຄ່າ Kubernetes ສໍາລັບການອະນຸຍາດ OIDC ແມ່ນຂ້ອນຂ້າງເລັກນ້ອຍແລະບໍ່ແມ່ນບາງສິ່ງບາງຢ່າງທີ່ສັບສົນຫຼາຍ. ສິ່ງທີ່ທ່ານຕ້ອງເຮັດແມ່ນໃສ່ໃບຢັ້ງຢືນ CA ຂອງເຄື່ອງແມ່ຂ່າຍ ODC ຂອງທ່ານໃສ່ /etc/kubernetes/pki/oidc-ca.pem ແລະເພີ່ມທາງເລືອກທີ່ຈໍາເປັນສໍາລັບ kube-apiserver.
ເພື່ອເຮັດສິ່ງນີ້, ປັບປຸງ /etc/kubernetes/manifests/kube-apiserver.yaml ກ່ຽວກັບແມ່ຂອງທ່ານທັງຫມົດ:

...
spec:
  containers:
  - command:
    - kube-apiserver
...
    - --oidc-ca-file=/etc/kubernetes/pki/oidc-ca.pem
    - --oidc-client-id=kubernetes
    - --oidc-groups-claim=groups
    - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes
    - --oidc-username-claim=email
...

ແລະຍັງອັບເດດການຕັ້ງຄ່າ kubeadm ໃນກຸ່ມເພື່ອບໍ່ໃຫ້ເສຍການຕັ້ງຄ່າເຫຼົ່ານີ້ໃນລະຫວ່າງການອັບເດດ:

kubectl edit -n kube-system configmaps kubeadm-config

...
data:
  ClusterConfiguration: |
    apiServer:
      extraArgs:
        oidc-ca-file: /etc/kubernetes/pki/oidc-ca.pem
        oidc-client-id: kubernetes
        oidc-groups-claim: groups
        oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes
        oidc-username-claim: email
...

ນີ້ເຮັດສຳເລັດການຕິດຕັ້ງ Kubernetes. ທ່ານສາມາດເຮັດຂັ້ນຕອນເຫຼົ່ານີ້ຄືນໃໝ່ໃນທົ່ວກຸ່ມ Kubernetes ທັງໝົດຂອງທ່ານ.

ການອະນຸຍາດເບື້ອງຕົ້ນ

ຫຼັງຈາກຂັ້ນຕອນເຫຼົ່ານີ້, ທ່ານຈະມີກຸ່ມ Kubernetes ທີ່ມີການຕັ້ງຄ່າການອະນຸຍາດ ODC ແລ້ວ. ຈຸດດຽວແມ່ນວ່າຜູ້ໃຊ້ຂອງທ່ານຍັງບໍ່ທັນມີລູກຄ້າ configured, ເຊັ່ນດຽວກັນກັບ kubeconfig ຂອງຕົນເອງ. ເພື່ອແກ້ໄຂບັນຫານີ້, ທ່ານຈໍາເປັນຕ້ອງກໍານົດການອອກ kubeconfig ອັດຕະໂນມັດໃຫ້ກັບຜູ້ໃຊ້ຫຼັງຈາກການອະນຸມັດສົບຜົນສໍາເລັດ.

ເພື່ອເຮັດສິ່ງນີ້, ທ່ານສາມາດນໍາໃຊ້ຄໍາຮ້ອງສະຫມັກເວັບໄຊຕ໌ພິເສດທີ່ອະນຸຍາດໃຫ້ທ່ານເພື່ອພິສູດຢືນຢັນຜູ້ໃຊ້ແລະຫຼັງຈາກນັ້ນດາວໂຫລດ kubeconfig ສໍາເລັດຮູບ. ຫນຶ່ງໃນສະດວກທີ່ສຸດແມ່ນ Kuberos, ມັນອະນຸຍາດໃຫ້ທ່ານອະທິບາຍກຸ່ມ Kubernetes ທັງໝົດໃນການຕັ້ງຄ່າດຽວ ແລະປ່ຽນລະຫວ່າງພວກມັນໄດ້ຢ່າງງ່າຍດາຍ.

ເພື່ອກໍາຫນົດຄ່າ Kuberos, ມັນພຽງພໍທີ່ຈະອະທິບາຍແມ່ແບບສໍາລັບ kubeconfig ແລະດໍາເນີນການກັບຕົວກໍານົດການດັ່ງຕໍ່ໄປນີ້:

kuberos https://keycloak.example.org/auth/realms/kubernetes kubernetes /cfg/secret /cfg/template

ສໍາລັບລາຍລະອຽດເພີ່ມເຕີມເບິ່ງ ການນໍາໃຊ້ ໃນ Github.

ມັນກໍ່ເປັນໄປໄດ້ທີ່ຈະໃຊ້ kubelogin ຖ້າທ່ານຕ້ອງການອະນຸຍາດໂດຍກົງໃນຄອມພິວເຕີຂອງຜູ້ໃຊ້. ໃນກໍລະນີນີ້, ຜູ້ໃຊ້ຈະເປີດຕົວທ່ອງເວັບທີ່ມີແບບຟອມການອະນຸຍາດຢູ່ໃນ localhost.

kubeconfig ຜົນໄດ້ຮັບສາມາດໄດ້ຮັບການກວດສອບຢູ່ໃນເວັບໄຊທ໌ jwt.io. ພຽງແຕ່ຄັດລອກມູນຄ່າ users[].user.auth-provider.config.id-token ຈາກ kubeconfig ຂອງທ່ານໄປຫາແບບຟອມຢູ່ໃນເວັບໄຊທ໌ແລະໄດ້ຮັບຂໍ້ຄວາມຖອດຈາກສຽງທັນທີ.

ການຕິດຕັ້ງ RBAC

ເມື່ອຕັ້ງຄ່າ RBAC, ທ່ານສາມາດອ້າງອີງໃສ່ທັງສອງຊື່ຜູ້ໃຊ້ (ພາກສະຫນາມ name ໃນ jwt token) ແລະສໍາລັບກຸ່ມຜູ້ໃຊ້ (ພາກສະຫນາມ groups ໃນ jwt token). ນີ້ແມ່ນຕົວຢ່າງຂອງການຕັ້ງຄ່າການອະນຸຍາດສໍາລັບກຸ່ມ kubernetes-default-namespace-admins:

kubernetes-default-namespace-admins.yaml

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: default-admins
  namespace: default
rules:
- apiGroups:
  - '*'
  resources:
  - '*'
  verbs:
  - '*'
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: kubernetes-default-namespace-admins
  namespace: default
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: default-admins
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: kubernetes-default-namespace-admins

ຕົວຢ່າງເພີ່ມເຕີມສໍາລັບ RBAC ສາມາດພົບໄດ້ໃນ ເອກະສານ Kubernetes ຢ່າງເປັນທາງການ

ການຕິດຕັ້ງ auth-proxy

ມີໂຄງການທີ່ປະເສີດ keycloak-gatekeeper, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານຮັບປະກັນຄໍາຮ້ອງສະຫມັກໃດໆໂດຍການອະນຸຍາດໃຫ້ຜູ້ໃຊ້ສາມາດກວດສອບຄວາມຖືກຕ້ອງກັບເຄື່ອງແມ່ຂ່າຍ ODC. ຂ້ອຍຈະສະແດງວິທີທີ່ເຈົ້າສາມາດຕັ້ງຄ່າມັນໂດຍໃຊ້ Kubernetes Dashboard ເປັນຕົວຢ່າງ:

dashboard-proxy.yaml

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: kubernetes-dashboard-proxy
spec:
  replicas: 1
  template:
    metadata:
      labels:
        app: kubernetes-dashboard-proxy
    spec:
      containers:
      - args:
        - --listen=0.0.0.0:80
        - --discovery-url=https://keycloak.example.org/auth/realms/kubernetes
        - --client-id=kubernetes
        - --client-secret=<your-client-secret-here>
        - --redirection-url=https://kubernetes-dashboard.example.org
        - --enable-refresh-tokens=true
        - --encryption-key=ooTh6Chei1eefooyovai5ohwienuquoh
        - --upstream-url=https://kubernetes-dashboard.kube-system
        - --resources=uri=/*
        image: keycloak/keycloak-gatekeeper
        name: kubernetes-dashboard-proxy
        ports:
        - containerPort: 80
          livenessProbe:
            httpGet:
              path: /oauth/health
              port: 80
            initialDelaySeconds: 3
            timeoutSeconds: 2
          readinessProbe:
            httpGet:
              path: /oauth/health
              port: 80
            initialDelaySeconds: 3
            timeoutSeconds: 2
---
apiVersion: v1
kind: Service
metadata:
  name: kubernetes-dashboard-proxy
spec:
  ports:
  - port: 80
    protocol: TCP
    targetPort: 80
  selector:
    app: kubernetes-dashboard-proxy
  type: ClusterIP

ແຫຼ່ງຂໍ້ມູນ: www.habr.com