GitHub OAuth ਅਤੇ Dex ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੁਬਰਨੇਟਸ ਵਿੱਚ ਪ੍ਰਮਾਣਿਤ ਕਰੋ

ਮੈਂ ਤੁਹਾਡੇ ਧਿਆਨ ਵਿੱਚ Dex, dex-k8s-authenticator ਅਤੇ GitHub ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੁਬਰਨੇਟਸ ਕਲੱਸਟਰ ਤੱਕ ਪਹੁੰਚ ਬਣਾਉਣ ਲਈ ਇੱਕ ਟਿਊਟੋਰਿਅਲ ਪੇਸ਼ ਕਰਦਾ ਹਾਂ।

ਰੂਸੀ-ਭਾਸ਼ਾ ਦੇ ਕੁਬਰਨੇਟਸ ਤੋਂ ਸਥਾਨਕ ਮੀਮ ਚੈਟ ਇਨ ਤਾਰ

ਜਾਣ ਪਛਾਣ

ਅਸੀਂ ਵਿਕਾਸ ਅਤੇ QA ਟੀਮ ਲਈ ਗਤੀਸ਼ੀਲ ਵਾਤਾਵਰਣ ਬਣਾਉਣ ਲਈ Kubernetes ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਾਂ। ਇਸ ਲਈ ਅਸੀਂ ਉਹਨਾਂ ਨੂੰ ਡੈਸ਼ਬੋਰਡ ਅਤੇ kubectl ਦੋਵਾਂ ਲਈ ਕਲੱਸਟਰ ਤੱਕ ਪਹੁੰਚ ਦੇਣਾ ਚਾਹੁੰਦੇ ਹਾਂ। OpenShift ਦੇ ਉਲਟ, ਵਨੀਲਾ ਕੁਬਰਨੇਟਸ ਕੋਲ ਮੂਲ ਪ੍ਰਮਾਣਿਕਤਾ ਨਹੀਂ ਹੈ, ਇਸਲਈ ਅਸੀਂ ਇਸਦੇ ਲਈ ਥਰਡ-ਪਾਰਟੀ ਟੂਲਸ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਾਂ।

ਇਸ ਸੰਰਚਨਾ ਵਿੱਚ ਅਸੀਂ ਵਰਤਦੇ ਹਾਂ:

• dex-k8s-ਪ੍ਰਮਾਣਕ  — kubectl ਸੰਰਚਨਾ ਬਣਾਉਣ ਲਈ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ
• Dex - OpenID ਕਨੈਕਟ ਪ੍ਰਦਾਤਾ
• GitHub - ਬਸ ਇਸ ਲਈ ਕਿ ਅਸੀਂ ਆਪਣੀ ਕੰਪਨੀ ਵਿੱਚ GitHub ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਾਂ

ਅਸੀਂ Google OIDC ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ, ਪਰ ਬਦਕਿਸਮਤੀ ਨਾਲ ਅਸੀਂ ਅਸਫਲ ਉਹਨਾਂ ਨੂੰ ਸਮੂਹਾਂ ਨਾਲ ਸ਼ੁਰੂ ਕਰਨ ਲਈ, ਇਸ ਲਈ GitHub ਨਾਲ ਏਕੀਕਰਣ ਸਾਡੇ ਲਈ ਬਹੁਤ ਵਧੀਆ ਹੈ. ਗਰੁੱਪ ਮੈਪਿੰਗ ਤੋਂ ਬਿਨਾਂ, ਗਰੁੱਪਾਂ 'ਤੇ ਆਧਾਰਿਤ RBAC ਨੀਤੀਆਂ ਬਣਾਉਣਾ ਸੰਭਵ ਨਹੀਂ ਹੋਵੇਗਾ।

ਇਸ ਲਈ, ਸਾਡੀ ਕੁਬਰਨੇਟਸ ਪ੍ਰਮਾਣਿਕਤਾ ਪ੍ਰਕਿਰਿਆ ਵਿਜ਼ੂਅਲ ਪ੍ਰਤੀਨਿਧਤਾ ਵਿੱਚ ਕਿਵੇਂ ਕੰਮ ਕਰਦੀ ਹੈ:

ਅਧਿਕਾਰਤ ਪ੍ਰਕਿਰਿਆ

ਥੋੜਾ ਹੋਰ ਵੇਰਵੇ ਅਤੇ ਬਿੰਦੂ ਦਰ ਬਿੰਦੂ:

1. ਉਪਭੋਗਤਾ dex-k8s-authenticator ਵਿੱਚ ਲਾਗਇਨ ਕਰਦਾ ਹੈ (login.k8s.example.com)
2. dex-k8s-authenticator ਬੇਨਤੀ ਨੂੰ Dex ਨੂੰ ਅੱਗੇ ਭੇਜਦਾ ਹੈ (dex.k8s.example.com)
3. Dex GitHub ਲੌਗਇਨ ਪੰਨੇ 'ਤੇ ਰੀਡਾਇਰੈਕਟ ਕਰਦਾ ਹੈ
4. GitHub ਲੋੜੀਂਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਜਾਣਕਾਰੀ ਤਿਆਰ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ Dex ਨੂੰ ਵਾਪਸ ਕਰਦਾ ਹੈ
5. Dex ਪ੍ਰਾਪਤ ਜਾਣਕਾਰੀ ਨੂੰ dex-k8s-authenticator ਨੂੰ ਭੇਜਦਾ ਹੈ
6. ਉਪਭੋਗਤਾ GitHub ਤੋਂ ਇੱਕ OIDC ਟੋਕਨ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ
7. dex-k8s-authenticator kubeconfig ਵਿੱਚ ਟੋਕਨ ਜੋੜਦਾ ਹੈ
8. kubectl KubeAPIServer ਨੂੰ ਟੋਕਨ ਪਾਸ ਕਰਦਾ ਹੈ
9. KubeAPIServer ਪਾਸ ਕੀਤੇ ਟੋਕਨ ਦੇ ਆਧਾਰ 'ਤੇ kubectl ਤੱਕ ਪਹੁੰਚ ਵਾਪਸ ਕਰਦਾ ਹੈ
10. ਉਪਭੋਗਤਾ kubectl ਤੋਂ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ

ਤਿਆਰੀ ਦੀਆਂ ਕਾਰਵਾਈਆਂ

ਬੇਸ਼ੱਕ, ਸਾਡੇ ਕੋਲ ਪਹਿਲਾਂ ਹੀ ਇੱਕ ਕੁਬਰਨੇਟਸ ਕਲੱਸਟਰ ਸਥਾਪਤ ਹੈ (k8s.example.com), ਅਤੇ ਇਹ ਪਹਿਲਾਂ ਤੋਂ ਸਥਾਪਿਤ HELM ਦੇ ਨਾਲ ਵੀ ਆਉਂਦਾ ਹੈ। ਸਾਡੇ ਕੋਲ GitHub (super-org) 'ਤੇ ਇੱਕ ਸੰਸਥਾ ਵੀ ਹੈ।
ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ HELM ਨਹੀਂ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਇੰਸਟਾਲ ਕਰੋ ਬਹੁਤ ਹੀ ਸਧਾਰਨ.

ਪਹਿਲਾਂ ਸਾਨੂੰ GitHub ਸੈਟ ਅਪ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।

ਸੰਗਠਨ ਸੈਟਿੰਗਜ਼ ਪੰਨੇ 'ਤੇ ਜਾਓ, (https://github.com/organizations/super-org/settings/applications) ਅਤੇ ਇੱਕ ਨਵੀਂ ਐਪਲੀਕੇਸ਼ਨ ਬਣਾਓ (ਅਧਿਕਾਰਤ OAuth ਐਪ):

GitHub 'ਤੇ ਇੱਕ ਨਵੀਂ ਐਪਲੀਕੇਸ਼ਨ ਬਣਾਉਣਾ

ਲੋੜੀਂਦੇ URL ਦੇ ਨਾਲ ਖੇਤਰਾਂ ਨੂੰ ਭਰੋ, ਉਦਾਹਰਨ ਲਈ:

• ਹੋਮਪੇਜ URL: https://dex.k8s.example.com
• ਅਧਿਕਾਰ ਕਾਲਬੈਕ URL: https://dex.k8s.example.com/callback

ਲਿੰਕਾਂ ਦੇ ਨਾਲ ਸਾਵਧਾਨ ਰਹੋ, ਸਲੈਸ਼ਾਂ ਨੂੰ ਗੁਆਉਣਾ ਮਹੱਤਵਪੂਰਨ ਨਹੀਂ ਹੈ।

ਇੱਕ ਭਰੇ ਹੋਏ ਫਾਰਮ ਦੇ ਜਵਾਬ ਵਿੱਚ, GitHub ਤਿਆਰ ਕਰੇਗਾ Client ID и Client secret, ਉਹਨਾਂ ਨੂੰ ਇੱਕ ਸੁਰੱਖਿਅਤ ਥਾਂ ਤੇ ਰੱਖੋ, ਉਹ ਸਾਡੇ ਲਈ ਲਾਭਦਾਇਕ ਹੋਣਗੇ (ਉਦਾਹਰਨ ਲਈ, ਅਸੀਂ ਵਰਤਦੇ ਹਾਂ ਵਾਲਟ ਭੇਦ ਸਟੋਰ ਕਰਨ ਲਈ):

Client ID: 1ab2c3d4e5f6g7h8
Client secret: 98z76y54x32w1

ਸਬਡੋਮੇਨਾਂ ਲਈ DNS ਰਿਕਾਰਡ ਤਿਆਰ ਕਰੋ login.k8s.example.com и dex.k8s.example.com, ਨਾਲ ਹੀ ਪ੍ਰਵੇਸ਼ ਲਈ SSL ਸਰਟੀਫਿਕੇਟ।

ਆਓ SSL ਸਰਟੀਫਿਕੇਟ ਬਣਾਈਏ:

cat <<EOF | kubectl create -f -
apiVersion: certmanager.k8s.io/v1alpha1
kind: Certificate
metadata:
  name: cert-auth-dex
  namespace: kube-system
spec:
  secretName: cert-auth-dex
  dnsNames:
    - dex.k8s.example.com
  acme:
    config:
    - http01:
        ingressClass: nginx
      domains:
      - dex.k8s.example.com
  issuerRef:
    name: le-clusterissuer
    kind: ClusterIssuer
---
apiVersion: certmanager.k8s.io/v1alpha1
kind: Certificate
metadata:
  name: cert-auth-login
  namespace: kube-system
spec:
  secretName: cert-auth-login
  dnsNames:
    - login.k8s.example.com
  acme:
    config:
    - http01:
        ingressClass: nginx
      domains:
      - login.k8s.example.com
  issuerRef:
    name: le-clusterissuer
    kind: ClusterIssuer
EOF
kubectl describe certificates cert-auth-dex -n kube-system
kubectl describe certificates cert-auth-login -n kube-system

ਸਿਰਲੇਖ ਦੇ ਨਾਲ ਕਲੱਸਟਰ ਜਾਰੀਕਰਤਾ le-clusterissuer ਪਹਿਲਾਂ ਹੀ ਮੌਜੂਦ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਪਰ ਜੇ ਨਹੀਂ, ਤਾਂ ਇਸਨੂੰ HELM ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਬਣਾਓ:

helm install --namespace kube-system -n cert-manager stable/cert-manager
cat << EOF | kubectl create -f -
apiVersion: certmanager.k8s.io/v1alpha1
kind: ClusterIssuer
metadata:
  name: le-clusterissuer
  namespace: kube-system
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: [email protected]
    privateKeySecretRef:
      name: le-clusterissuer
    http01: {}
EOF

KubeAPIServer ਸੰਰਚਨਾ

kubeAPIServer ਦੇ ਕੰਮ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ OIDC ਕੌਂਫਿਗਰ ਕਰਨ ਅਤੇ ਕਲੱਸਟਰ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ:

kops edit cluster
...
  kubeAPIServer:
    anonymousAuth: false
    authorizationMode: RBAC
    oidcClientID: dex-k8s-authenticator
    oidcGroupsClaim: groups
    oidcIssuerURL: https://dex.k8s.example.com/
    oidcUsernameClaim: email
kops update cluster --yes
kops rolling-update cluster --yes

ਅਸੀਂ ਵਰਤਦੇ ਹਾਂ ਕਿੱਕ ਕਲੱਸਟਰਾਂ ਨੂੰ ਤੈਨਾਤ ਕਰਨ ਲਈ, ਪਰ ਇਹ ਇਸ ਲਈ ਵੀ ਇਸੇ ਤਰ੍ਹਾਂ ਕੰਮ ਕਰਦਾ ਹੈ ਹੋਰ ਕਲੱਸਟਰ ਪ੍ਰਬੰਧਕ.

Dex ਸੰਰਚਨਾ ਅਤੇ dex-k8s-ਪ੍ਰਮਾਣਿਕ

Dex ਦੇ ਕੰਮ ਕਰਨ ਲਈ, ਤੁਹਾਡੇ ਕੋਲ ਕੁਬਰਨੇਟਸ ਮਾਸਟਰ ਤੋਂ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਇੱਕ ਕੁੰਜੀ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ, ਆਓ ਇਸਨੂੰ ਉੱਥੋਂ ਪ੍ਰਾਪਤ ਕਰੀਏ:

sudo cat /srv/kubernetes/ca.{crt,key}
-----BEGIN CERTIFICATE-----
AAAAAAAAAAABBBBBBBBBBCCCCCC
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
DDDDDDDDDDDEEEEEEEEEEFFFFFF
-----END RSA PRIVATE KEY-----

ਆਉ dex-k8s-authenticator ਰਿਪੋਜ਼ਟਰੀ ਨੂੰ ਕਲੋਨ ਕਰੀਏ:

git clone [email protected]:mintel/dex-k8s-authenticator.git
cd dex-k8s-authenticator/

ਮੁੱਲ ਫਾਈਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਅਸੀਂ ਆਪਣੇ ਲਈ ਲਚਕਦਾਰ ਢੰਗ ਨਾਲ ਵੇਰੀਏਬਲ ਨੂੰ ਸੰਰਚਿਤ ਕਰ ਸਕਦੇ ਹਾਂ HELM ਚਾਰਟ.

ਆਓ Dex ਲਈ ਸੰਰਚਨਾ ਦਾ ਵਰਣਨ ਕਰੀਏ:

cat << EOF > values-dex.yml
global:
  deployEnv: prod
tls:
  certificate: |-
    -----BEGIN CERTIFICATE-----
    AAAAAAAAAAABBBBBBBBBBCCCCCC
    -----END CERTIFICATE-----
  key: |-
    -----BEGIN RSA PRIVATE KEY-----
    DDDDDDDDDDDEEEEEEEEEEFFFFFF
    -----END RSA PRIVATE KEY-----
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    kubernetes.io/tls-acme: "true"
  path: /
  hosts:
    - dex.k8s.example.com
  tls:
    - secretName: cert-auth-dex
      hosts:
        - dex.k8s.example.com
serviceAccount:
  create: true
  name: dex-auth-sa
config: |
  issuer: https://dex.k8s.example.com/
  storage: # https://github.com/dexidp/dex/issues/798
    type: sqlite3
    config:
      file: /var/dex.db
  web:
    http: 0.0.0.0:5556
  frontend:
    theme: "coreos"
    issuer: "Example Co"
    issuerUrl: "https://example.com"
    logoUrl: https://example.com/images/logo-250x25.png
  expiry:
    signingKeys: "6h"
    idTokens: "24h"
  logger:
    level: debug
    format: json
  oauth2:
    responseTypes: ["code", "token", "id_token"]
    skipApprovalScreen: true
  connectors:
  - type: github
    id: github
    name: GitHub
    config:
      clientID: $GITHUB_CLIENT_ID
      clientSecret: $GITHUB_CLIENT_SECRET
      redirectURI: https://dex.k8s.example.com/callback
      orgs:
      - name: super-org
        teams:
        - team-red
  staticClients:
  - id: dex-k8s-authenticator
    name: dex-k8s-authenticator
    secret: generatedLongRandomPhrase
    redirectURIs:
      - https://login.k8s.example.com/callback/
envSecrets:
  GITHUB_CLIENT_ID: "1ab2c3d4e5f6g7h8"
  GITHUB_CLIENT_SECRET: "98z76y54x32w1"
EOF

ਅਤੇ dex-k8s-authenticator ਲਈ:

cat << EOF > values-auth.yml
global:
  deployEnv: prod
dexK8sAuthenticator:
  clusters:
  - name: k8s.example.com
    short_description: "k8s cluster"
    description: "Kubernetes cluster"
    issuer: https://dex.k8s.example.com/
    k8s_master_uri: https://api.k8s.example.com
    client_id: dex-k8s-authenticator
    client_secret: generatedLongRandomPhrase
    redirect_uri: https://login.k8s.example.com/callback/
    k8s_ca_pem: |
      -----BEGIN CERTIFICATE-----
      AAAAAAAAAAABBBBBBBBBBCCCCCC
      -----END CERTIFICATE-----
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    kubernetes.io/tls-acme: "true"
  path: /
  hosts:
    - login.k8s.example.com
  tls:
    - secretName: cert-auth-login
      hosts:
        - login.k8s.example.com
EOF

Dex ਅਤੇ dex-k8s-authenticator ਇੰਸਟਾਲ ਕਰੋ:

helm install -n dex --namespace kube-system --values values-dex.yml charts/dex
helm install -n dex-auth --namespace kube-system --values values-auth.yml charts/dex-k8s-authenticator

ਚਲੋ ਸੇਵਾਵਾਂ ਦੀ ਕਾਰਜਕੁਸ਼ਲਤਾ ਦੀ ਜਾਂਚ ਕਰੀਏ (Dex ਨੂੰ ਕੋਡ 400 ਵਾਪਸ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ dex-k8s-authenticator ਨੂੰ ਕੋਡ 200 ਵਾਪਸ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ):

curl -sI https://dex.k8s.example.com/callback | head -1
HTTP/2 400
curl -sI https://login.k8s.example.com/ | head -1
HTTP/2 200

RBAC ਸੰਰਚਨਾ

ਅਸੀਂ ਗਰੁੱਪ ਲਈ ਇੱਕ ਕਲੱਸਟਰਰੋਲ ਬਣਾਉਂਦੇ ਹਾਂ, ਸਾਡੇ ਕੇਸ ਵਿੱਚ ਸਿਰਫ਼-ਪੜ੍ਹਨ ਲਈ ਪਹੁੰਚ ਨਾਲ:

cat << EOF | kubectl create -f -
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cluster-read-all
rules:
  -
    apiGroups:
      - ""
      - apps
      - autoscaling
      - batch
      - extensions
      - policy
      - rbac.authorization.k8s.io
      - storage.k8s.io
    resources:
      - componentstatuses
      - configmaps
      - cronjobs
      - daemonsets
      - deployments
      - events
      - endpoints
      - horizontalpodautoscalers
      - ingress
      - ingresses
      - jobs
      - limitranges
      - namespaces
      - nodes
      - pods
      - pods/log
      - pods/exec
      - persistentvolumes
      - persistentvolumeclaims
      - resourcequotas
      - replicasets
      - replicationcontrollers
      - serviceaccounts
      - services
      - statefulsets
      - storageclasses
      - clusterroles
      - roles
    verbs:
      - get
      - watch
      - list
  - nonResourceURLs: ["*"]
    verbs:
      - get
      - watch
      - list
  - apiGroups: [""]
    resources: ["pods/exec"]
    verbs: ["create"]
EOF

ਆਉ ਕਲੱਸਟਰਰੋਲ ਬਾਈਡਿੰਗ ਲਈ ਇੱਕ ਸੰਰਚਨਾ ਬਣਾਈਏ:

cat <<EOF | kubectl create -f -
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: dex-cluster-auth
  namespace: kube-system
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-read-all
subjects:
  kind: Group
  name: "super-org:team-red"
EOF

ਹੁਣ ਅਸੀਂ ਟੈਸਟਿੰਗ ਲਈ ਤਿਆਰ ਹਾਂ।

ਟੈਸਟ

ਲਾਗਇਨ ਪੰਨੇ 'ਤੇ ਜਾਓ (https://login.k8s.example.com) ਅਤੇ ਆਪਣੇ GitHub ਖਾਤੇ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਲੌਗ ਇਨ ਕਰੋ:

ਲੌਗਇਨ ਪੰਨਾ

ਲੌਗਇਨ ਪੰਨਾ GitHub 'ਤੇ ਰੀਡਾਇਰੈਕਟ ਕੀਤਾ ਗਿਆ

 ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤੀਆਂ ਹਦਾਇਤਾਂ ਦੀ ਪਾਲਣਾ ਕਰੋ

ਵੈੱਬ ਪੇਜ ਤੋਂ ਕਾਪੀ-ਪੇਸਟ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਅਸੀਂ ਆਪਣੇ ਕਲੱਸਟਰ ਸਰੋਤਾਂ ਦਾ ਪ੍ਰਬੰਧਨ ਕਰਨ ਲਈ kubectl ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹਾਂ:

kubectl get po
NAME                READY   STATUS    RESTARTS   AGE
mypod               1/1     Running   0          3d

kubectl delete po mypod
Error from server (Forbidden): pods "mypod" is forbidden: User "[email protected]" cannot delete pods in the namespace "default"

ਅਤੇ ਇਹ ਕੰਮ ਕਰਦਾ ਹੈ, ਸਾਡੀ ਸੰਸਥਾ ਵਿੱਚ ਸਾਰੇ GitHub ਉਪਭੋਗਤਾ ਸਰੋਤਾਂ ਨੂੰ ਦੇਖ ਸਕਦੇ ਹਨ ਅਤੇ ਪੌਡ ਵਿੱਚ ਲੌਗਇਨ ਕਰ ਸਕਦੇ ਹਨ, ਪਰ ਉਹਨਾਂ ਕੋਲ ਉਹਨਾਂ ਨੂੰ ਬਦਲਣ ਦੇ ਅਧਿਕਾਰ ਨਹੀਂ ਹਨ।

ਸਰੋਤ: www.habr.com