Автентикација во Kubernetes користејќи GitHub OAuth и Dex

Ви презентирам упатство за генерирање пристап до кластерот Kubernetes користејќи Dex, dex-k8s-authenticator и GitHub.

Локален мем од разговорот на руски јазик Kubernetes во Телеграма

Вовед

Ние користиме Kubernetes за да создадеме динамични средини за тимот за развој и ОК. Затоа, сакаме да им дадеме пристап до кластерот и за контролната табла и за kubectl. За разлика од OpenShift, ванила Kubernetes нема мајчин автентикација, па затоа користиме алатки од трети страни за ова.

Во оваа конфигурација користиме:

• dex-k8s-автентикатор  — веб апликација за генерирање на kubectl конфигурација
• Дек — Обезбедувач на OpenID Connect
• GitHub - едноставно затоа што користиме GitHub во нашата компанија

Се обидовме да користиме Google OIDC, но за жал ние не успеа да ги започнеме со групи, па интеграцијата со GitHub доста ни одговараше. Без групно мапирање, нема да биде можно да се креираат RBAC политики врз основа на групи.

Значи, како функционира нашиот процес на овластување Kubernetes во визуелна претстава:

Процес на овластување

Малку повеќе детали и точка по точка:

1. Корисникот се најавува во dex-k8s-authenticator (login.k8s.example.com)
2. dex-k8s-authenticator го препраќа барањето до Dex (dex.k8s.example.com)
3. Dex се пренасочува на страницата за најавување на GitHub
4. GitHub ги генерира потребните информации за авторизација и ги враќа на Dex
5. Dex ги пренесува добиените информации до dex-k8s-authenticator
6. Корисникот добива OIDC токен од GitHub
7. dex-k8s-authenticator додава токен на kubeconfig
8. kubectl го пренесува токенот на KubeAPIServer
9. KubeAPIServer враќа пристапи до kubectl врз основа на предадениот токен
10. Корисникот добива пристап од kubectl

Подготвителни активности

Се разбира, веќе имаме инсталирано кластер Kubernetes (k8s.example.com), а доаѓа и со претходно инсталиран HELM. Имаме и организација на GitHub (супер-орг).
Ако немате HELM, инсталирајте го многу едноставна.

Прво треба да го поставиме GitHub.

Одете на страницата за поставки на организацијата, (https://github.com/organizations/super-org/settings/applications) и креирајте нова апликација (Authorized OAuth App):

Создавање нова апликација на GitHub

Пополнете ги полињата со потребните URL-адреси, на пример:

• URL на почетната страница: https://dex.k8s.example.com
• URL-адреса за повратен повик за овластување: https://dex.k8s.example.com/callback

Бидете внимателни со врските, важно е да не се губат коси црти.

Како одговор на пополнетата форма, GitHub ќе генерира Client ID и Client secret, чувајте ги на безбедно место, тие ќе ни бидат корисни (на пример, ние ги користиме Свод за чување тајни):

Client ID: 1ab2c3d4e5f6g7h8
Client secret: 98z76y54x32w1

Подгответе DNS записи за поддомени login.k8s.example.com и dex.k8s.example.com, како и SSL сертификати за влез.

Ајде да создадеме SSL сертификати:

cat <<EOF | kubectl create -f -
apiVersion: certmanager.k8s.io/v1alpha1
kind: Certificate
metadata:
  name: cert-auth-dex
  namespace: kube-system
spec:
  secretName: cert-auth-dex
  dnsNames:
    - dex.k8s.example.com
  acme:
    config:
    - http01:
        ingressClass: nginx
      domains:
      - dex.k8s.example.com
  issuerRef:
    name: le-clusterissuer
    kind: ClusterIssuer
---
apiVersion: certmanager.k8s.io/v1alpha1
kind: Certificate
metadata:
  name: cert-auth-login
  namespace: kube-system
spec:
  secretName: cert-auth-login
  dnsNames:
    - login.k8s.example.com
  acme:
    config:
    - http01:
        ingressClass: nginx
      domains:
      - login.k8s.example.com
  issuerRef:
    name: le-clusterissuer
    kind: ClusterIssuer
EOF
kubectl describe certificates cert-auth-dex -n kube-system
kubectl describe certificates cert-auth-login -n kube-system

ClusterIssuer со наслов le-clusterissuer веќе треба да постои, но ако не, креирајте го користејќи HELM:

helm install --namespace kube-system -n cert-manager stable/cert-manager
cat << EOF | kubectl create -f -
apiVersion: certmanager.k8s.io/v1alpha1
kind: ClusterIssuer
metadata:
  name: le-clusterissuer
  namespace: kube-system
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: [email protected]
    privateKeySecretRef:
      name: le-clusterissuer
    http01: {}
EOF

Конфигурација на KubeAPISserver

За да работи kubeAPIServer, треба да го конфигурирате OIDC и да го ажурирате кластерот:

kops edit cluster
...
  kubeAPIServer:
    anonymousAuth: false
    authorizationMode: RBAC
    oidcClientID: dex-k8s-authenticator
    oidcGroupsClaim: groups
    oidcIssuerURL: https://dex.k8s.example.com/
    oidcUsernameClaim: email
kops update cluster --yes
kops rolling-update cluster --yes

Ние користиме копс за распоредување кластери, но ова функционира слично и за други менаџери на кластери.

Dex конфигурација и dex-k8s-автентикатор

За да работи Dex, треба да имате сертификат и клуч од мајсторот на Kubernetes, ајде да го земеме од таму:

sudo cat /srv/kubernetes/ca.{crt,key}
-----BEGIN CERTIFICATE-----
AAAAAAAAAAABBBBBBBBBBCCCCCC
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
DDDDDDDDDDDEEEEEEEEEEFFFFFF
-----END RSA PRIVATE KEY-----

Ајде да го клонираме складиштето dex-k8s-authenticator:

git clone [email protected]:mintel/dex-k8s-authenticator.git
cd dex-k8s-authenticator/

Користејќи датотеки со вредности, можеме флексибилно да конфигурираме променливи за нашите Листа на HELM.

Ајде да ја опишеме конфигурацијата за Dex:

cat << EOF > values-dex.yml
global:
  deployEnv: prod
tls:
  certificate: |-
    -----BEGIN CERTIFICATE-----
    AAAAAAAAAAABBBBBBBBBBCCCCCC
    -----END CERTIFICATE-----
  key: |-
    -----BEGIN RSA PRIVATE KEY-----
    DDDDDDDDDDDEEEEEEEEEEFFFFFF
    -----END RSA PRIVATE KEY-----
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    kubernetes.io/tls-acme: "true"
  path: /
  hosts:
    - dex.k8s.example.com
  tls:
    - secretName: cert-auth-dex
      hosts:
        - dex.k8s.example.com
serviceAccount:
  create: true
  name: dex-auth-sa
config: |
  issuer: https://dex.k8s.example.com/
  storage: # https://github.com/dexidp/dex/issues/798
    type: sqlite3
    config:
      file: /var/dex.db
  web:
    http: 0.0.0.0:5556
  frontend:
    theme: "coreos"
    issuer: "Example Co"
    issuerUrl: "https://example.com"
    logoUrl: https://example.com/images/logo-250x25.png
  expiry:
    signingKeys: "6h"
    idTokens: "24h"
  logger:
    level: debug
    format: json
  oauth2:
    responseTypes: ["code", "token", "id_token"]
    skipApprovalScreen: true
  connectors:
  - type: github
    id: github
    name: GitHub
    config:
      clientID: $GITHUB_CLIENT_ID
      clientSecret: $GITHUB_CLIENT_SECRET
      redirectURI: https://dex.k8s.example.com/callback
      orgs:
      - name: super-org
        teams:
        - team-red
  staticClients:
  - id: dex-k8s-authenticator
    name: dex-k8s-authenticator
    secret: generatedLongRandomPhrase
    redirectURIs:
      - https://login.k8s.example.com/callback/
envSecrets:
  GITHUB_CLIENT_ID: "1ab2c3d4e5f6g7h8"
  GITHUB_CLIENT_SECRET: "98z76y54x32w1"
EOF

И за dex-k8s-authenticator:

cat << EOF > values-auth.yml
global:
  deployEnv: prod
dexK8sAuthenticator:
  clusters:
  - name: k8s.example.com
    short_description: "k8s cluster"
    description: "Kubernetes cluster"
    issuer: https://dex.k8s.example.com/
    k8s_master_uri: https://api.k8s.example.com
    client_id: dex-k8s-authenticator
    client_secret: generatedLongRandomPhrase
    redirect_uri: https://login.k8s.example.com/callback/
    k8s_ca_pem: |
      -----BEGIN CERTIFICATE-----
      AAAAAAAAAAABBBBBBBBBBCCCCCC
      -----END CERTIFICATE-----
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    kubernetes.io/tls-acme: "true"
  path: /
  hosts:
    - login.k8s.example.com
  tls:
    - secretName: cert-auth-login
      hosts:
        - login.k8s.example.com
EOF

Инсталирајте Dex и dex-k8s-authenticator:

helm install -n dex --namespace kube-system --values values-dex.yml charts/dex
helm install -n dex-auth --namespace kube-system --values values-auth.yml charts/dex-k8s-authenticator

Ајде да ја провериме функционалноста на услугите (Dex треба да го врати кодот 400, а dex-k8s-authenticator да го врати кодот 200):

curl -sI https://dex.k8s.example.com/callback | head -1
HTTP/2 400
curl -sI https://login.k8s.example.com/ | head -1
HTTP/2 200

RBAC конфигурација

Ние создаваме ClusterRole за групата, во нашиот случај со пристап само за читање:

cat << EOF | kubectl create -f -
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cluster-read-all
rules:
  -
    apiGroups:
      - ""
      - apps
      - autoscaling
      - batch
      - extensions
      - policy
      - rbac.authorization.k8s.io
      - storage.k8s.io
    resources:
      - componentstatuses
      - configmaps
      - cronjobs
      - daemonsets
      - deployments
      - events
      - endpoints
      - horizontalpodautoscalers
      - ingress
      - ingresses
      - jobs
      - limitranges
      - namespaces
      - nodes
      - pods
      - pods/log
      - pods/exec
      - persistentvolumes
      - persistentvolumeclaims
      - resourcequotas
      - replicasets
      - replicationcontrollers
      - serviceaccounts
      - services
      - statefulsets
      - storageclasses
      - clusterroles
      - roles
    verbs:
      - get
      - watch
      - list
  - nonResourceURLs: ["*"]
    verbs:
      - get
      - watch
      - list
  - apiGroups: [""]
    resources: ["pods/exec"]
    verbs: ["create"]
EOF

Ајде да создадеме конфигурација за ClusterRoleBinding:

cat <<EOF | kubectl create -f -
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: dex-cluster-auth
  namespace: kube-system
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-read-all
subjects:
  kind: Group
  name: "super-org:team-red"
EOF

Сега сме подготвени за тестирање.

Тестови

Одете на страницата за најавување (https://login.k8s.example.com) и најавете се користејќи ја вашата сметка на GitHub:

Страница за најавување

Страницата за најавување е пренасочена на GitHub

 Следете ги генерираните упатства за да добиете пристап

По copy-pasting од веб-страницата, можеме да користиме kubectl за управување со нашите ресурси на кластерот:

kubectl get po
NAME                READY   STATUS    RESTARTS   AGE
mypod               1/1     Running   0          3d

kubectl delete po mypod
Error from server (Forbidden): pods "mypod" is forbidden: User "[email protected]" cannot delete pods in the namespace "default"

И функционира, сите корисници на GitHub во нашата организација можат да ги видат ресурсите и да се логираат во подлоги, но немаат права да ги менуваат.

Извор: www.habr.com