🥇Mamehy ny fanomezan-dàlana ActiveDirectory amin'ny Kubernetes izahay amin'ny fampiasana Keycloak

Ity lahatsoratra ity dia nosoratana mba hanitarana ny efa misy, fa miresaka momba ny endrik'ilay fonosana miaraka amin'ny Microsoft ActiveDirectory, ary mameno azy io koa.

Amin'ity lahatsoratra ity dia hilaza aminao ny fomba fametrahana sy configure aho:

keycloak dia tetikasa open source. Izay manome teboka tokana ho an'ny fampiharana. Miara-miasa amin'ny protocols maro, anisan'izany ny LDAP sy OpenID izay mahaliana anay.
mpiandry vavahady keycloak - fampiharana proxy mivadika izay ahafahanao mampiditra fanomezan-dàlana amin'ny alàlan'ny Keycloak.
gangway - fampiharana mamorona config ho an'ny kubectl izay ahafahanao miditra sy mifandray amin'ny API Kubernetes amin'ny alàlan'ny OpenID.

Ahoana ny fiasan'ny fahazoan-dàlana amin'ny Kubernetes.

Afaka mitantana ny zon'ny mpampiasa / vondrona amin'ny alàlan'ny RBAC izahay, lahatsoratra maromaro no efa noforonina momba izany, tsy hiresaka amin'ny antsipiriany aho. Ny olana dia afaka mampiasa RBAC ianao hamerana ny zon'ny mpampiasa, saingy tsy mahalala na inona na inona momba ny mpampiasa i Kubernetes. Hita fa mila mekanika fanaterana mpampiasa ao amin'ny Kubernetes izahay. Mba hanaovana izany dia hanampy mpanome tolotra amin'ny Kuberntes OpenID izahay, izay hilaza fa tena misy ny mpampiasa toy izany, ary ny Kubernetes mihitsy no hanome azy ny zo.

Fiomanana

Mila cluster Kubernetes na minikube ianao
Active Directory
Domains:
keycloak.example.org
kubernetes-dashboard.example.org
gangway.example.org
Taratasy ho an'ny sehatra na taratasy fanamarinana nosoniavin'ny tena

Tsy hieritreritra ny fomba hamoronana certificat nosoniavin'ny tena aho, mila mamorona certificat 2 ianao, izany no fotony (Certificate Authority) sy mpanjifa wildcard ho an'ny domain *.example.org

Rehefa avy nahazo/mamoaka taratasy fanamarinana ianao dia tsy maintsy ampidirina ao amin'ny Kubernetes ny mpanjifa, noho izany dia mamorona tsiambaratelo ho azy izahay:

kubectl create secret tls tls-keycloak --cert=example.org.crt --key=example.org.pem

Avy eo dia hampiasa azy io ho an'ny mpanara-maso ny Ingress izahay.

Fametrahana Keycloak

Nanapa-kevitra aho fa ny fomba tsotra indrindra dia ny fampiasana vahaolana efa vita ho an'izany, dia ny sarin'ny familiana.

Mametraka ny tahiry ary manavao azy:

helm repo add codecentric https://codecentric.github.io/helm-charts
helm repo update

Mamorona rakitra keycloak.yml miaraka amin'ireto atiny manaraka ireto:

keycloak.yml

keycloak:
  # Имя администратора
  username: "test_admin"
  # Пароль администратор  
  password: "admin"
  # Эти флаги нужны что бы позволить загружать в Keycloak скрипты прямо через web морду. Это нам 
  понадобиться что бы починить один баг, о котором ниже.
  extraArgs: "-Dkeycloak.profile.feature.script=enabled -Dkeycloak.profile.feature.upload_scripts=enabled" 
  # Включаем ingress, указываем имя хоста и сертификат который мы предварительно сохранили в secrets
  ingress:
    enabled: true 
    path: /
    annotations:
      kubernetes.io/ingress.class: nginx
      ingress.kubernetes.io/affinity: cookie
    hosts:
      - keycloak.example.org
    tls:
    - hosts:
        - keycloak.example.org
      secretName: tls-keycloak
  # Keycloak для своей работы требует базу данных, в тестовых целях я разворачиваю Postgresql прямо в Kuberntes, в продакшене так лучше не делать!
  persistence:
    deployPostgres: true
    dbVendor: postgres

postgresql:
  postgresUser: keycloak
  postgresPassword: ""
  postgresDatabase: keycloak
  persistence:
    enabled: true

Fametrahana federasiona

Manaraka, mandehana any amin'ny tranonkala interface keycloak.example.org

Tsindrio eo amin'ny zorony havia Ampio fanjakana

Key
sarobidy

anarana
kubernetes

Anarana isehoana
Kubernetes

Atsaharo ny fanamarinana mailaka mpampiasa:
Saran'ny mpanjifa -> Email -> Mappers -> Email voamarina (Delete)

Nanangana federasiona izahay hanafatra mpampiasa avy amin'ny ActiveDirectory, hamela pikantsary etsy ambany aho, heveriko fa hazava kokoa izany.

Federasiona mpampiasa -> Ampio mpamatsy… -> ldap

Fametrahana federasiona

Raha tsara ny zava-drehetra, dia rehefa avy manindry ny bokotra Ampifanaraho ny mpampiasa rehetra hahita hafatra momba ny fanafarana mahomby ny mpampiasa ianao.

Avy eo dia mila manao sarintany ny vondrona misy antsika isika

Federasiona mpampiasa -> ldap_localhost -> Mappers -> Mamorona

Mamorona sarintany

Fametrahana mpanjifa

Ilaina ny mamorona mpanjifa, raha ny Keycloak, dia fampiharana izay hahazo alalana avy aminy. Hanasongadina ireo teboka manan-danja amin'ny pikantsary amin'ny loko mena aho.

Mpanjifa -> Mamorona

Fametrahana mpanjifa

Andao hamorona scoupe ho an'ny vondrona:

Saran'ny mpanjifa -> Mamorona

Mamorona sehatra

Ary manangàna sarintany ho azy ireo:

Client Scopes -> vondrona -> Mappers -> Create

Mapper

Ampio ny sarintany ny vondronay amin'ny Default Client Scopes:

Clients —> kubernetes —> Client Scopes —> Default Client Scopes
Mifidy isika vondrona в Sahan'ny mpanjifa misy, gazety Ampio voafantina

Mahazo ny tsiambaratelo izahay (ary soraty amin'ny kofehy) izay hampiasainay amin'ny alàlan'ny Keycloak:

Mpanjifa -> kubernetes -> Fanomezana fahazoan-dàlana -> tsiambaratelo
Izany dia mamita ny fananganana, saingy nanana hadisoana aho rehefa nahazo alalana 403, taorian'ny fanomezan-dàlana nahomby. Tatitra momba ny bug.

Ahitsio

Sahan'ny mpanjifa -> anjara -> Mappers -> Mamorona

Mappers

Kaody script

// add current client-id to token audience
token.addAudience(token.getIssuedFor());

// return token issuer as dummy result assigned to iss again
token.getIssuer();

Fametrahana Kubernetes

Mila mamaritra ny toerana misy ny taratasy fanamarinana fototra avy amin'ny tranokala, ary ny toerana misy ny mpamatsy OIDC.
Mba hanaovana izany, ovay ny rakitra /etc/kubernetes/manifests/kube-apiserver.yaml

kube-apiserver.yaml


...
spec:
  containers:
  - command:
    - kube-apiserver
...
    - --oidc-ca-file=/var/lib/minikube/certs/My_Root.crt
    - --oidc-client-id=kubernetes
    - --oidc-groups-claim=groups
    - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes
    - --oidc-username-claim=email
...

Fanavaozana ny config kubeadm ao amin'ny cluster:

kubeadmconfig

kubectl edit -n kube-system configmaps kubeadm-config


...
data:
  ClusterConfiguration: |
    apiServer:
      extraArgs:
        oidc-ca-file: /var/lib/minikube/certs/My_Root.crt
        oidc-client-id: kubernetes
        oidc-groups-claim: groups
        oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes
        oidc-username-claim: email
...

Fametrahana auth-proxy

Azonao atao ny mampiasa keycloak gatekeeper mba hiarovana ny rindranasa tranonkalanao. Ho fanampin'ny hoe manome alalana ny mpampiasa ity proxy mivadika ity alohan'ny hampisehoana ny pejy, dia handefa fampahalalana momba anao amin'ny fampiharana farany amin'ny lohapejy ihany koa izy. Noho izany, raha manohana ny OpenID ny fampiharanao, dia mahazo alalana avy hatrany ny mpampiasa. Diniho ny ohatra momba ny Dashboard Kubernetes

Fametrahana Dashboard Kubernetes


helm install stable/kubernetes-dashboard --name dashboard -f values_dashboard.yaml

values_dashboard.yaml

enableInsecureLogin: true
service:
  externalPort: 80
rbac:
  clusterAdminRole: true
  create: true
serviceAccount:
  create: true
  name: 'dashboard-test'

Fametrahana zo fidirana:

Andao hamorona ClusterRoleBinding izay hanome zon'ny admin cluster (manara-penitra ClusterRole cluster-admin) ho an'ny mpampiasa ao amin'ny vondrona DataOPS.


kubectl apply -f rbac.yaml

rbac.yaml


apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: dataops_group
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: DataOPS

Mametraka keycloak gatekeeper:


helm repo add gabibbo97 https://gabibbo97.github.io/charts/
helm repo update
helm install gabibbo97/keycloak-gatekeeper --version 2.1.0 --name keycloak-gatekeeper -f values_proxy.yaml

values_proxy.yaml



# Включаем ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
  path: /
  hosts:
    - kubernetes-dashboard.example.org
  tls:
   - secretName: tls-keycloak
     hosts:
       - kubernetes-dashboard.example.org

# Говорим где мы будем авторизовываться у OIDC провайдера
discoveryURL: "https://keycloak.example.org/auth/realms/kubernetes"
# Имя клиента которого мы создали в Keycloak
ClientID: "kubernetes"
# Secret который я просил записать
ClientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
# Куда перенаправить в случае успешной авторизации. Формат <SCHEMA>://<SERVICE_NAME>.><NAMESAPCE>.<CLUSTER_NAME>
upstreamURL: "http://dashboard-kubernetes-dashboard.default.svc.cluster.local"
# Пропускаем проверку сертификата, если у нас самоподписанный
skipOpenidProviderTlsVerify: true
# Настройка прав доступа, пускаем на все path если мы в группе DataOPS
rules:
  - "uri=/*|groups=DataOPS"

Rehefa afaka izany, rehefa miezaka ny ho any kubernetes-dashboard.example.org, dia halefa any amin'ny Keycloak isika ary raha misy fanomezan-dàlana mahomby dia ho tonga any amin'ny Dashboard efa tafiditra.

fametrahana gangway

Ho fanamorana dia azonao atao ny manampy gangway izay hamokatra rakitra config ho an'ny kubectl, miaraka amin'ny fanampiana izay hidirantsika ao amin'ny Kubernetes eo ambany mpampiasa anay.


helm install --name gangway stable/gangway -f values_gangway.yaml

values_gangway.yaml


gangway:
  # Произвольное имя кластера
  clusterName: "my-k8s"
  # Где у нас OIDC провайдер
  authorizeURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/auth"
  tokenURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/token"
  audience: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/userinfo"
  # Теоритически сюда можно добавить groups которые мы замапили
  scopes: ["openid", "profile", "email", "offline_access"]
  redirectURL: "https://gangway.example.org/callback"
  # Имя клиента
  clientID: "kubernetes"
  # Секрет
  clientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
  # Если оставить дефолтное значние, то за имя пользователя будет братья <b>Frist name</b> <b>Second name</b>, а при "sub" его логин
  usernameClaim: "sub"
  # Доменное имя или IP адресс API сервера
  apiServerURL: "https://192.168.99.111:8443"

# Включаем Ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/proxy-buffer-size: "64k"
  path: /
  hosts:
  - gangway.example.org
  tls:
  - secretName: tls-keycloak
    hosts:
      - gangway.example.org

# Если используем самоподписанный сертификат, то его(открытый корневой сертификат) надо указать.
trustedCACert: |-
 -----BEGIN CERTIFICATE-----
 MIIDVzCCAj+gAwIBAgIBATANBgkqhkiG9w0BAQsFADA1MQswCQYDVQQGEwJVUzEQMA4GA1UEChMHRGF0YU9QUzEUMBIGA1UEAxMLbXkgcm9vdCBrZXkwHhcNMjAwMjE0MDkxODAwWhcNMzAwMjE0MDkxODAwWjA1MQswCQYDVQQGEwJVUzEQMA4GA1UEChMHRGF0YU9QUzEUMBIGA1UEAxMLbXkgcm9vdCBrZXkwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQDyP749PqqIRwNSqaK6qr0Zsi03G4PTCUlgaYTPZuMrwUVPK8xX2dWWs9MPRMOdXpgr8aSTZnVfmelIlVz4D7o2vK5rfmAe9GPcK0WbwKwXyhFU0flS9sU/g46ogHFrk03SZxQAeJhMLfEmAJm8LF5HghtGDs3t4uwGsB95o+lqPLiBvxRB8ZS3jSpYpvPgXAuZWKdZUQ3UUZf0X3hGLp7uIcIwJ7i4MduOGaQEO4cePeEJy9aDAO6qV78YmHbyh9kaW+1DL/Sgq8NmTgHGV6UOnAPKHTnMKXl6KkyUz8uLBGIdVhPxrlzG1EzXresJbJenSZ+FZqm3oLqZbw54Yp5hAgMBAAGjcjBwMA8GA1UdEwEB/wQFMAMBAf8wHQYDVR0OBBYEFHISTOU/6BQqqnOZj+1xJfxpjiG0MAsGA1UdDwQEAwIBBjARBglghkgBhvhCAQEEBAMCAAcwHgYJYIZIAYb4QgENBBEWD3hjYSBjZXJ0aWZpY2F0ZTANBgkqhkiG9w0BAQsFAAOCAQEAj7HC8ObibwOLT4ZYmISJZwub9lcE0AZ5cWkPW39j/syhdbbqjK/6jy2D3WUEbR+s1Vson5Ov7JhN5In2yfZ/ByDvBnoj7CP8Q/ZMjTJgwN7j0rgmEb3CTZvnDPAz8Ijw3FP0cjxfoZ1Z0V2F44Ry7gtLJWr06+MztXVyto3aIz1/XbMQnXYlzc3c3B5yUQIy44Ce5aLRVsAjmXNqVRmDJ2QPNLicvrhnUJsO0zFWI+zZ2hc4Ge1RotCrjfOc9hQY63jZJ17myCZ6QCD7yzMzAob4vrgmkD4q7tpGrhPY/gDcE+lUNhC7DO3l0oPy2wsnT2TEn87eyWmDiTFG9zWDew==
 -----END CERTIFICATE-----

Toa izao. Mamela anao misintona avy hatrany ny fisie config ary mamorona azy amin'ny alàlan'ny baiko maromaro:

Source: www.habr.com

Mamehy ny fanomezan-dàlana ActiveDirectory amin'ny Kubernetes izahay amin'ny fampiasana Keycloak