🥇Kami mengikat kebenaran ActiveDirectory kepada Kubernetes menggunakan Keycloak

Artikel ini telah ditulis untuk mengembangkan lagi sedia ada, tetapi bercakap tentang ciri berkas dengan Microsoft ActiveDirectory, dan juga melengkapkannya.

Dalam artikel ini saya akan memberitahu anda cara memasang dan mengkonfigurasi:

Jubah kunci ialah projek sumber terbuka. Yang menyediakan satu titik kemasukan untuk permohonan. Berfungsi dengan banyak protokol, termasuk LDAP dan OpenID yang kami minati.
penjaga pintu kunci - aplikasi proksi terbalik yang membolehkan anda menyepadukan kebenaran melalui Keycloak.
Gangway - aplikasi yang menjana konfigurasi untuk kubectl yang dengannya anda boleh log masuk dan menyambung ke API Kubernetes melalui OpenID.

Cara kebenaran berfungsi dalam Kubernetes.

Kami boleh menguruskan hak pengguna / kumpulan menggunakan RBAC, banyak artikel telah dibuat mengenai perkara ini, saya tidak akan membincangkan perkara ini secara terperinci. Masalahnya ialah anda boleh menggunakan RBAC untuk menyekat hak pengguna, tetapi Kubernetes tidak tahu apa-apa tentang pengguna. Ternyata kami memerlukan mekanisme penghantaran pengguna dalam Kubernetes. Untuk melakukan ini, kami akan menambah penyedia pada OpenID Kuberntes, yang akan mengatakan bahawa pengguna sedemikian benar-benar wujud, dan Kubernetes sendiri akan memberinya hak.

Latihan

Anda memerlukan kluster Kubernetes atau minikube
Active Directory
Domain:
keycloak.example.org
kubernetes-dashboard.example.org
gangway.example.org
Sijil untuk domain atau sijil yang ditandatangani sendiri

Saya tidak akan memikirkan cara membuat sijil yang ditandatangani sendiri, anda perlu mencipta 2 sijil, ini ialah akar (Pihak Berkuasa Sijil) dan klien kad bebas untuk domain *.example.org

Selepas anda menerima / mengeluarkan sijil, pelanggan mesti ditambahkan ke Kubernetes, untuk ini kami mencipta rahsia untuknya:

kubectl create secret tls tls-keycloak --cert=example.org.crt --key=example.org.pem

Seterusnya, kami akan menggunakannya untuk pengawal Ingress kami.

Pemasangan Keycloak

Saya memutuskan bahawa cara paling mudah ialah menggunakan penyelesaian sedia untuk ini, iaitu carta helm.

Pasang repositori dan kemas kini:

helm repo add codecentric https://codecentric.github.io/helm-charts
helm repo update

Buat fail keycloak.yml dengan kandungan berikut:

keycloak.yml

keycloak:
  # Имя администратора
  username: "test_admin"
  # Пароль администратор  
  password: "admin"
  # Эти флаги нужны что бы позволить загружать в Keycloak скрипты прямо через web морду. Это нам 
  понадобиться что бы починить один баг, о котором ниже.
  extraArgs: "-Dkeycloak.profile.feature.script=enabled -Dkeycloak.profile.feature.upload_scripts=enabled" 
  # Включаем ingress, указываем имя хоста и сертификат который мы предварительно сохранили в secrets
  ingress:
    enabled: true 
    path: /
    annotations:
      kubernetes.io/ingress.class: nginx
      ingress.kubernetes.io/affinity: cookie
    hosts:
      - keycloak.example.org
    tls:
    - hosts:
        - keycloak.example.org
      secretName: tls-keycloak
  # Keycloak для своей работы требует базу данных, в тестовых целях я разворачиваю Postgresql прямо в Kuberntes, в продакшене так лучше не делать!
  persistence:
    deployPostgres: true
    dbVendor: postgres

postgresql:
  postgresUser: keycloak
  postgresPassword: ""
  postgresDatabase: keycloak
  persistence:
    enabled: true

Persediaan Persekutuan

Seterusnya, pergi ke antara muka web keycloak.example.org

Klik di sudut kiri Tambah alam

Utama
nilai

Nama
Kubernetes

Nama Paparan
Kubernetes

Lumpuhkan pengesahan e-mel pengguna:
Skop pelanggan —> E-mel —> Pemeta —> E-mel disahkan (Padam)

Kami menyediakan persekutuan untuk mengimport pengguna dari ActiveDirectory, saya akan meninggalkan tangkapan skrin di bawah, saya fikir ia akan menjadi lebih jelas.

Persekutuan pengguna —> Tambah pembekal... —> ldap

Persediaan Persekutuan

Jika semuanya baik, maka selepas menekan butang Segerakkan semua pengguna anda akan melihat mesej tentang pengimportan pengguna yang berjaya.

Seterusnya kita perlu memetakan kumpulan kita

Persekutuan pengguna --> ldap_localhost --> Pemeta --> Cipta

Mencipta pemeta

Persediaan pelanggan

Ia adalah perlu untuk membuat pelanggan, dari segi Keycloak, ini adalah aplikasi yang akan diberi kuasa daripadanya. Saya akan menyerlahkan perkara penting dalam tangkapan skrin dengan warna merah.

Pelanggan -> Buat

Persediaan pelanggan

Mari buat scoupe untuk kumpulan:

Skop Pelanggan -> Buat

Buat skop

Dan sediakan pemeta untuk mereka:

Skop Pelanggan —> kumpulan —> Pemeta —> Cipta

Mapper

Tambahkan pemetaan kumpulan kami pada Skop Pelanggan Lalai:

Pelanggan —> kubernetes —> Skop Pelanggan —> Skop Pelanggan Lalai
pilih kumpulan в Skop Pelanggan Tersedia, tekan Tambah yang dipilih

Kami mendapat rahsia (dan menulisnya ke benang) yang akan kami gunakan untuk kebenaran dalam Keycloak:

Pelanggan —> kubernetes —> Bukti kelayakan —> Rahsia
Ini melengkapkan persediaan, tetapi saya mengalami ralat apabila, selepas kebenaran berjaya, saya menerima ralat 403. Laporan pepijat.

Menetapkan:

Skop Pelanggan —> peranan —> Pemeta —> Cipta

Pemetaan

Kod skrip

// add current client-id to token audience
token.addAudience(token.getIssuedFor());

// return token issuer as dummy result assigned to iss again
token.getIssuer();

Mengkonfigurasi Kubernetes

Kami perlu menentukan di mana sijil akar kami dari tapak terletak, dan lokasi penyedia OIDC berada.
Untuk melakukan ini, edit fail /etc/kubernetes/manifests/kube-apiserver.yaml

kube-apiserver.yaml


...
spec:
  containers:
  - command:
    - kube-apiserver
...
    - --oidc-ca-file=/var/lib/minikube/certs/My_Root.crt
    - --oidc-client-id=kubernetes
    - --oidc-groups-claim=groups
    - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes
    - --oidc-username-claim=email
...

Kemas kini konfigurasi kubeadm dalam kluster:

kubeadmconfig

kubectl edit -n kube-system configmaps kubeadm-config


...
data:
  ClusterConfiguration: |
    apiServer:
      extraArgs:
        oidc-ca-file: /var/lib/minikube/certs/My_Root.crt
        oidc-client-id: kubernetes
        oidc-groups-claim: groups
        oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes
        oidc-username-claim: email
...

Menetapkan proksi pengesahan

Anda boleh menggunakan penjaga pintu kunci untuk melindungi aplikasi web anda. Sebagai tambahan kepada fakta bahawa proksi terbalik ini akan membenarkan pengguna sebelum memaparkan halaman, ia juga akan menghantar maklumat tentang anda kepada aplikasi akhir dalam pengepala. Oleh itu, jika aplikasi anda menyokong OpenID, maka pengguna diberi kuasa serta-merta. Pertimbangkan contoh Papan Pemuka Kubernetes

Memasang Papan Pemuka Kubernetes


helm install stable/kubernetes-dashboard --name dashboard -f values_dashboard.yaml

values_dashboard.yaml

enableInsecureLogin: true
service:
  externalPort: 80
rbac:
  clusterAdminRole: true
  create: true
serviceAccount:
  create: true
  name: 'dashboard-test'

Menetapkan hak akses:

Mari buat ClusterRoleBinding yang akan memberikan hak pentadbir kluster (pentadbir kluster ClusterRole standard) untuk pengguna dalam kumpulan DataOPS.


kubectl apply -f rbac.yaml

rbac.yaml


apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: dataops_group
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: DataOPS

Pasang penjaga pintu kunci:


helm repo add gabibbo97 https://gabibbo97.github.io/charts/
helm repo update
helm install gabibbo97/keycloak-gatekeeper --version 2.1.0 --name keycloak-gatekeeper -f values_proxy.yaml

values_proxy.yaml



# Включаем ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
  path: /
  hosts:
    - kubernetes-dashboard.example.org
  tls:
   - secretName: tls-keycloak
     hosts:
       - kubernetes-dashboard.example.org

# Говорим где мы будем авторизовываться у OIDC провайдера
discoveryURL: "https://keycloak.example.org/auth/realms/kubernetes"
# Имя клиента которого мы создали в Keycloak
ClientID: "kubernetes"
# Secret который я просил записать
ClientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
# Куда перенаправить в случае успешной авторизации. Формат <SCHEMA>://<SERVICE_NAME>.><NAMESAPCE>.<CLUSTER_NAME>
upstreamURL: "http://dashboard-kubernetes-dashboard.default.svc.cluster.local"
# Пропускаем проверку сертификата, если у нас самоподписанный
skipOpenidProviderTlsVerify: true
# Настройка прав доступа, пускаем на все path если мы в группе DataOPS
rules:
  - "uri=/*|groups=DataOPS"

Selepas itu, apabila anda cuba pergi ke kubernetes-dashboard.example.org, kami akan diubah hala ke Keycloak dan sekiranya kebenaran berjaya kami akan sampai ke Papan Pemuka yang telah dilog masuk.

pemasangan gangway

Untuk kemudahan, anda boleh menambah gangway yang akan menjana fail konfigurasi untuk kubectl, dengan bantuan yang kami akan masuk ke Kubernetes di bawah pengguna kami.


helm install --name gangway stable/gangway -f values_gangway.yaml

values_gangway.yaml


gangway:
  # Произвольное имя кластера
  clusterName: "my-k8s"
  # Где у нас OIDC провайдер
  authorizeURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/auth"
  tokenURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/token"
  audience: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/userinfo"
  # Теоритически сюда можно добавить groups которые мы замапили
  scopes: ["openid", "profile", "email", "offline_access"]
  redirectURL: "https://gangway.example.org/callback"
  # Имя клиента
  clientID: "kubernetes"
  # Секрет
  clientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
  # Если оставить дефолтное значние, то за имя пользователя будет братья <b>Frist name</b> <b>Second name</b>, а при "sub" его логин
  usernameClaim: "sub"
  # Доменное имя или IP адресс API сервера
  apiServerURL: "https://192.168.99.111:8443"

# Включаем Ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/proxy-buffer-size: "64k"
  path: /
  hosts:
  - gangway.example.org
  tls:
  - secretName: tls-keycloak
    hosts:
      - gangway.example.org

# Если используем самоподписанный сертификат, то его(открытый корневой сертификат) надо указать.
trustedCACert: |-
 -----BEGIN CERTIFICATE-----
 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
 -----END CERTIFICATE-----

Nampak macam ni. Membolehkan anda memuat turun fail konfigurasi dengan segera dan menjananya menggunakan satu set arahan:

Sumber: www.habr.com

Kami mengikat kebenaran ActiveDirectory kepada Kubernetes menggunakan Keycloak