ਅਸੀਂ Keycloak ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ Kubernetes ਲਈ ActiveDirectory ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਜੋੜਦੇ ਹਾਂ

ਇਹ ਲੇਖ ਪਹਿਲਾਂ ਹੀ 'ਤੇ ਵਿਸਥਾਰ ਕਰਨ ਲਈ ਲਿਖਿਆ ਗਿਆ ਹੈ ਮੌਜੂਦਾ, ਪਰ Microsoft ActiveDirectory ਦੇ ਨਾਲ ਬੰਡਲ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਬਾਰੇ ਗੱਲ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਸਦੇ ਪੂਰਕ ਵੀ ਹੈ।

ਇਸ ਲੇਖ ਵਿੱਚ ਮੈਂ ਤੁਹਾਨੂੰ ਦੱਸਾਂਗਾ ਕਿ ਇਸਨੂੰ ਕਿਵੇਂ ਸਥਾਪਿਤ ਅਤੇ ਸੰਰਚਿਤ ਕਰਨਾ ਹੈ:

• ਕੀਕਲੋਕ ਇੱਕ ਓਪਨ ਸੋਰਸ ਪ੍ਰੋਜੈਕਟ ਹੈ। ਜੋ ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ ਇੱਕ ਸਿੰਗਲ ਪੁਆਇੰਟ ਆਫ ਐਂਟਰੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। LDAP ਅਤੇ OpenID ਸਮੇਤ ਬਹੁਤ ਸਾਰੇ ਪ੍ਰੋਟੋਕੋਲਾਂ ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਸਾਡੀ ਦਿਲਚਸਪੀ ਹੈ।
• ਕੀਕਲੌਕ ਗੇਟਕੀਪਰ - ਰਿਵਰਸ ਪ੍ਰੌਕਸੀ ਐਪਲੀਕੇਸ਼ਨ ਜੋ ਤੁਹਾਨੂੰ ਕੀਕਲੌਕ ਦੁਆਰਾ ਅਧਿਕਾਰ ਨੂੰ ਏਕੀਕ੍ਰਿਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ।
• ਗੈਂਗਵੇਅ - ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਜੋ kubectl ਲਈ ਇੱਕ ਸੰਰਚਨਾ ਤਿਆਰ ਕਰਦੀ ਹੈ ਜਿਸ ਨਾਲ ਤੁਸੀਂ ਓਪਨਆਈਡੀ ਦੁਆਰਾ ਕੁਬਰਨੇਟਸ API ਨਾਲ ਲੌਗਇਨ ਕਰ ਸਕਦੇ ਹੋ ਅਤੇ ਕਨੈਕਟ ਕਰ ਸਕਦੇ ਹੋ।

ਕੁਬਰਨੇਟਸ ਵਿੱਚ ਇਜਾਜ਼ਤਾਂ ਕਿਵੇਂ ਕੰਮ ਕਰਦੀਆਂ ਹਨ।

ਅਸੀਂ RBAC ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਉਪਭੋਗਤਾ / ਸਮੂਹ ਅਧਿਕਾਰਾਂ ਦਾ ਪ੍ਰਬੰਧਨ ਕਰ ਸਕਦੇ ਹਾਂ, ਇਸ ਬਾਰੇ ਲੇਖਾਂ ਦਾ ਇੱਕ ਸਮੂਹ ਪਹਿਲਾਂ ਹੀ ਬਣਾਇਆ ਜਾ ਚੁੱਕਾ ਹੈ, ਮੈਂ ਇਸ ਬਾਰੇ ਵਿਸਥਾਰ ਵਿੱਚ ਨਹੀਂ ਸੋਚਾਂਗਾ। ਸਮੱਸਿਆ ਇਹ ਹੈ ਕਿ ਤੁਸੀਂ ਉਪਭੋਗਤਾ ਅਧਿਕਾਰਾਂ ਨੂੰ ਸੀਮਤ ਕਰਨ ਲਈ RBAC ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ, ਪਰ ਕੁਬਰਨੇਟਸ ਉਪਭੋਗਤਾਵਾਂ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਜਾਣਦਾ ਹੈ। ਇਹ ਪਤਾ ਚਲਦਾ ਹੈ ਕਿ ਸਾਨੂੰ ਕੁਬਰਨੇਟਸ ਵਿੱਚ ਇੱਕ ਉਪਭੋਗਤਾ ਡਿਲੀਵਰੀ ਵਿਧੀ ਦੀ ਲੋੜ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਅਸੀਂ ਕੁਬਰਨੇਟਸ ਓਪਨਆਈਡੀ ਵਿੱਚ ਇੱਕ ਪ੍ਰਦਾਤਾ ਜੋੜਾਂਗੇ, ਜੋ ਕਹੇਗਾ ਕਿ ਅਜਿਹਾ ਉਪਭੋਗਤਾ ਅਸਲ ਵਿੱਚ ਮੌਜੂਦ ਹੈ, ਅਤੇ ਕੁਬਰਨੇਟਸ ਖੁਦ ਉਸਨੂੰ ਅਧਿਕਾਰ ਦੇਵੇਗਾ।

ਸਿਖਲਾਈ

• ਤੁਹਾਨੂੰ ਕੁਬਰਨੇਟਸ ਕਲੱਸਟਰ ਜਾਂ ਮਿਨੀਕਿਊਬ ਦੀ ਲੋੜ ਹੋਵੇਗੀ
• ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ
• ਡੋਮੇਨ:
  keycloak.example.org
  kubernetes-dashboard.example.org
  gangway.example.org
• ਡੋਮੇਨ ਜਾਂ ਸਵੈ-ਦਸਤਖਤ ਸਰਟੀਫਿਕੇਟ ਲਈ ਸਰਟੀਫਿਕੇਟ

ਮੈਂ ਇਸ ਗੱਲ 'ਤੇ ਧਿਆਨ ਨਹੀਂ ਦੇਵਾਂਗਾ ਕਿ ਸਵੈ-ਦਸਤਖਤ ਸਰਟੀਫਿਕੇਟ ਕਿਵੇਂ ਬਣਾਇਆ ਜਾਵੇ, ਤੁਹਾਨੂੰ 2 ਸਰਟੀਫਿਕੇਟ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ, ਇਹ *.example.org ਡੋਮੇਨ ਲਈ ਰੂਟ (ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ) ਅਤੇ ਵਾਈਲਡਕਾਰਡ ਕਲਾਇੰਟ ਹੈ

ਤੁਹਾਡੇ ਦੁਆਰਾ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਾਪਤ ਕਰਨ / ਜਾਰੀ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਕਲਾਇੰਟ ਨੂੰ ਕੁਬਰਨੇਟਸ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਇਸਦੇ ਲਈ ਅਸੀਂ ਇਸਦੇ ਲਈ ਇੱਕ ਗੁਪਤ ਬਣਾਉਂਦੇ ਹਾਂ:

kubectl create secret tls tls-keycloak --cert=example.org.crt --key=example.org.pem

ਅੱਗੇ, ਅਸੀਂ ਇਸਨੂੰ ਆਪਣੇ ਇਨਗਰੈਸ ਕੰਟਰੋਲਰ ਲਈ ਵਰਤਾਂਗੇ।

ਕੀਕਲੌਕ ਇੰਸਟਾਲੇਸ਼ਨ

ਮੈਂ ਫੈਸਲਾ ਕੀਤਾ ਹੈ ਕਿ ਸਭ ਤੋਂ ਆਸਾਨ ਤਰੀਕਾ ਹੈ ਇਸਦੇ ਲਈ ਤਿਆਰ ਕੀਤੇ ਹੱਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨਾ, ਅਰਥਾਤ ਹੈਲਮ ਚਾਰਟ।

ਰਿਪੋਜ਼ਟਰੀ ਨੂੰ ਸਥਾਪਿਤ ਕਰੋ ਅਤੇ ਇਸਨੂੰ ਅਪਡੇਟ ਕਰੋ:

helm repo add codecentric https://codecentric.github.io/helm-charts
helm repo update

ਹੇਠ ਦਿੱਤੀ ਸਮੱਗਰੀ ਨਾਲ ਇੱਕ keycloak.yml ਫਾਈਲ ਬਣਾਓ:

keycloak.yml

keycloak:
  # Имя администратора
  username: "test_admin"
  # Пароль администратор  
  password: "admin"
  # Эти флаги нужны что бы позволить загружать в Keycloak скрипты прямо через web морду. Это нам 
  понадобиться что бы починить один баг, о котором ниже.
  extraArgs: "-Dkeycloak.profile.feature.script=enabled -Dkeycloak.profile.feature.upload_scripts=enabled" 
  # Включаем ingress, указываем имя хоста и сертификат который мы предварительно сохранили в secrets
  ingress:
    enabled: true 
    path: /
    annotations:
      kubernetes.io/ingress.class: nginx
      ingress.kubernetes.io/affinity: cookie
    hosts:
      - keycloak.example.org
    tls:
    - hosts:
        - keycloak.example.org
      secretName: tls-keycloak
  # Keycloak для своей работы требует базу данных, в тестовых целях я разворачиваю Postgresql прямо в Kuberntes, в продакшене так лучше не делать!
  persistence:
    deployPostgres: true
    dbVendor: postgres

postgresql:
  postgresUser: keycloak
  postgresPassword: ""
  postgresDatabase: keycloak
  persistence:
    enabled: true

ਫੈਡਰੇਸ਼ਨ ਦੀ ਸਥਾਪਨਾ

ਅੱਗੇ, ਵੈੱਬ ਇੰਟਰਫੇਸ ਤੇ ਜਾਓ keycloak.example.org

ਖੱਬੇ ਕੋਨੇ ਵਿੱਚ ਕਲਿੱਕ ਕਰੋ ਖੇਤਰ ਸ਼ਾਮਲ ਕਰੋ

ਕੁੰਜੀ
ਮੁੱਲ

ਨਾਮ
ਕੁਬਰਨੇਟਸ

ਦਿਖਾਇਆ ਹੋਇਆ ਨਾਮ
ਕਬਰਨੇਟਿਸ

ਉਪਭੋਗਤਾ ਈਮੇਲ ਪੁਸ਼ਟੀਕਰਨ ਨੂੰ ਅਸਮਰੱਥ ਬਣਾਓ:
ਕਲਾਇੰਟ ਸਕੋਪ —> ਈਮੇਲ —> ਮੈਪਰ —> ਈਮੇਲ ਪ੍ਰਮਾਣਿਤ (ਮਿਟਾਓ)

ਅਸੀਂ ActiveDirectory ਤੋਂ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਆਯਾਤ ਕਰਨ ਲਈ ਫੈਡਰੇਸ਼ਨ ਦੀ ਸਥਾਪਨਾ ਕੀਤੀ ਹੈ, ਮੈਂ ਹੇਠਾਂ ਸਕ੍ਰੀਨਸ਼ਾਟ ਛੱਡਾਂਗਾ, ਮੈਨੂੰ ਲਗਦਾ ਹੈ ਕਿ ਇਹ ਸਪੱਸ਼ਟ ਹੋ ਜਾਵੇਗਾ.

ਯੂਜ਼ਰ ਫੈਡਰੇਸ਼ਨ —> ਪ੍ਰਦਾਤਾ ਸ਼ਾਮਲ ਕਰੋ… —> ldap

ਫੈਡਰੇਸ਼ਨ ਦੀ ਸਥਾਪਨਾ


ਜੇ ਸਭ ਠੀਕ ਹੈ, ਤਾਂ ਬਟਨ ਦਬਾਉਣ ਤੋਂ ਬਾਅਦ ਸਾਰੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਸਿੰਕ੍ਰੋਨਾਈਜ਼ ਕਰੋ ਤੁਸੀਂ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਸਫਲ ਆਯਾਤ ਬਾਰੇ ਇੱਕ ਸੁਨੇਹਾ ਵੇਖੋਗੇ.

ਅੱਗੇ ਸਾਨੂੰ ਸਾਡੇ ਸਮੂਹਾਂ ਨੂੰ ਮੈਪ ਕਰਨ ਦੀ ਲੋੜ ਹੈ

ਯੂਜ਼ਰ ਫੈਡਰੇਸ਼ਨ --> ldap_localhost --> ਮੈਪਰ --> ਬਣਾਓ

ਇੱਕ ਮੈਪਰ ਬਣਾਉਣਾ

ਕਲਾਇੰਟ ਸੈੱਟਅੱਪ

ਇੱਕ ਕਲਾਇੰਟ ਬਣਾਉਣਾ ਜ਼ਰੂਰੀ ਹੈ, ਕੀਕਲੌਕ ਦੇ ਰੂਪ ਵਿੱਚ, ਇਹ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਹੈ ਜੋ ਉਸ ਤੋਂ ਅਧਿਕਾਰਤ ਹੋਵੇਗੀ. ਮੈਂ ਸਕ੍ਰੀਨਸ਼ਾਟ ਵਿੱਚ ਲਾਲ ਰੰਗ ਵਿੱਚ ਮਹੱਤਵਪੂਰਨ ਨੁਕਤਿਆਂ ਨੂੰ ਉਜਾਗਰ ਕਰਾਂਗਾ।

ਗਾਹਕ -> ਬਣਾਓ

ਕਲਾਇੰਟ ਸੈੱਟਅੱਪ

ਆਉ ਸਮੂਹਾਂ ਲਈ ਸਕੂਪ ਬਣਾਈਏ:

ਕਲਾਇੰਟ ਸਕੋਪ -> ਬਣਾਓ

ਦਾਇਰਾ ਬਣਾਓ

ਅਤੇ ਉਹਨਾਂ ਲਈ ਇੱਕ ਮੈਪਰ ਸੈਟ ਅਪ ਕਰੋ:

ਕਲਾਇੰਟ ਸਕੋਪਸ —> ਗਰੁੱਪ —> ਮੈਪਰ —> ਬਣਾਓ

ਮੈਪਰ

ਸਾਡੇ ਸਮੂਹਾਂ ਦੀ ਮੈਪਿੰਗ ਨੂੰ ਡਿਫੌਲਟ ਕਲਾਇੰਟ ਸਕੋਪਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰੋ:

ਕਲਾਇੰਟਸ —> ਕੁਬਰਨੇਟਸ —> ਕਲਾਇੰਟ ਸਕੋਪਸ —> ਡਿਫਾਲਟ ਕਲਾਇੰਟ ਸਕੋਪਸ
ਚੁਣੋ ਗਰੁੱਪ в ਉਪਲਬਧ ਗਾਹਕ ਦਾਇਰੇ, ਪ੍ਰੈਸ ਚੁਣਿਆ ਸ਼ਾਮਲ ਕਰੋ

ਸਾਨੂੰ ਗੁਪਤ ਮਿਲਦਾ ਹੈ (ਅਤੇ ਇਸ ਨੂੰ ਧਾਗੇ ਵਿੱਚ ਲਿਖੋ) ਜੋ ਅਸੀਂ ਕੀਕਲੋਕ ਵਿੱਚ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ ਵਰਤਾਂਗੇ:

ਕਲਾਇੰਟਸ —> kubernetes —> ਪ੍ਰਮਾਣ ਪੱਤਰ —> ਗੁਪਤ
ਇਹ ਸੈਟਅਪ ਨੂੰ ਪੂਰਾ ਕਰਦਾ ਹੈ, ਪਰ ਮੇਰੇ ਕੋਲ ਇੱਕ ਤਰੁੱਟੀ ਸੀ ਜਦੋਂ, ਸਫਲ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਾਅਦ, ਮੈਨੂੰ ਇੱਕ ਗਲਤੀ 403 ਪ੍ਰਾਪਤ ਹੋਈ। ਬੱਗ ਰਿਪੋਰਟ.

ਠੀਕ ਕਰੋ:

ਕਲਾਇੰਟ ਸਕੋਪਸ —> ਰੋਲ —> ਮੈਪਰ —> ਬਣਾਓ

ਮੈਪਰ

ਸਕ੍ਰਿਪਟ ਕੋਡ

// add current client-id to token audience
token.addAudience(token.getIssuedFor());

// return token issuer as dummy result assigned to iss again
token.getIssuer();

ਕੁਬਰਨੇਟਸ ਦੀ ਸੰਰਚਨਾ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ

ਸਾਨੂੰ ਇਹ ਦੱਸਣ ਦੀ ਲੋੜ ਹੈ ਕਿ ਸਾਈਟ ਤੋਂ ਸਾਡਾ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਕਿੱਥੇ ਹੈ, ਅਤੇ OIDC ਪ੍ਰਦਾਤਾ ਕਿੱਥੇ ਸਥਿਤ ਹੈ।
ਅਜਿਹਾ ਕਰਨ ਲਈ, ਫਾਇਲ ਨੂੰ ਸੰਪਾਦਿਤ ਕਰੋ /etc/kubernetes/manifests/kube-apiserver.yaml

kube-apiserver.yaml

...
spec:
  containers:
  - command:
    - kube-apiserver
...
    - --oidc-ca-file=/var/lib/minikube/certs/My_Root.crt
    - --oidc-client-id=kubernetes
    - --oidc-groups-claim=groups
    - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes
    - --oidc-username-claim=email
...

ਕਲੱਸਟਰ ਵਿੱਚ kubeadm ਸੰਰਚਨਾ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ:

kubeadmconfig

kubectl edit -n kube-system configmaps kubeadm-config

...
data:
  ClusterConfiguration: |
    apiServer:
      extraArgs:
        oidc-ca-file: /var/lib/minikube/certs/My_Root.crt
        oidc-client-id: kubernetes
        oidc-groups-claim: groups
        oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes
        oidc-username-claim: email
...

ਪ੍ਰਮਾਣ-ਪ੍ਰਾਕਸੀ ਸੈੱਟ ਕਰ ਰਿਹਾ ਹੈ

ਤੁਸੀਂ ਆਪਣੀ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਕੀਕਲੌਕ ਗੇਟਕੀਪਰ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ। ਇਸ ਤੱਥ ਤੋਂ ਇਲਾਵਾ ਕਿ ਇਹ ਰਿਵਰਸ ਪ੍ਰੌਕਸੀ ਪੰਨੇ ਨੂੰ ਦਿਖਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਉਪਭੋਗਤਾ ਨੂੰ ਅਧਿਕਾਰਤ ਕਰੇਗੀ, ਇਹ ਸਿਰਲੇਖਾਂ ਵਿੱਚ ਅੰਤਮ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਤੁਹਾਡੇ ਬਾਰੇ ਜਾਣਕਾਰੀ ਵੀ ਭੇਜ ਦੇਵੇਗੀ। ਇਸ ਤਰ੍ਹਾਂ, ਜੇਕਰ ਤੁਹਾਡੀ ਐਪਲੀਕੇਸ਼ਨ OpenID ਦਾ ਸਮਰਥਨ ਕਰਦੀ ਹੈ, ਤਾਂ ਉਪਭੋਗਤਾ ਨੂੰ ਤੁਰੰਤ ਅਧਿਕਾਰਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਕੁਬਰਨੇਟਸ ਡੈਸ਼ਬੋਰਡ ਦੀ ਉਦਾਹਰਨ 'ਤੇ ਗੌਰ ਕਰੋ

ਕੁਬਰਨੇਟਸ ਡੈਸ਼ਬੋਰਡ ਸਥਾਪਤ ਕਰਨਾ

helm install stable/kubernetes-dashboard --name dashboard -f values_dashboard.yaml

values_dashboard.yaml

enableInsecureLogin: true
service:
  externalPort: 80
rbac:
  clusterAdminRole: true
  create: true
serviceAccount:
  create: true
  name: 'dashboard-test'

ਪਹੁੰਚ ਅਧਿਕਾਰ ਸੈੱਟ ਕਰਨਾ:

ਚਲੋ ਇੱਕ ClusterRoleBinding ਬਣਾਈਏ ਜੋ DataOPS ਸਮੂਹ ਵਿੱਚ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਕਲੱਸਟਰ ਐਡਮਿਨ ਅਧਿਕਾਰ (ਸਟੈਂਡਰਡ ਕਲੱਸਟਰਰੋਲ ਕਲੱਸਟਰ-ਐਡਮਿਨ) ਦੇਵੇਗਾ।

kubectl apply -f rbac.yaml

rbac.yaml

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: dataops_group
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: DataOPS

ਕੀਕਲੌਕ ਗੇਟਕੀਪਰ ਸਥਾਪਿਤ ਕਰੋ:

helm repo add gabibbo97 https://gabibbo97.github.io/charts/
helm repo update
helm install gabibbo97/keycloak-gatekeeper --version 2.1.0 --name keycloak-gatekeeper -f values_proxy.yaml

values_proxy.yaml

# Включаем ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
  path: /
  hosts:
    - kubernetes-dashboard.example.org
  tls:
   - secretName: tls-keycloak
     hosts:
       - kubernetes-dashboard.example.org

# Говорим где мы будем авторизовываться у OIDC провайдера
discoveryURL: "https://keycloak.example.org/auth/realms/kubernetes"
# Имя клиента которого мы создали в Keycloak
ClientID: "kubernetes"
# Secret который я просил записать
ClientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
# Куда перенаправить в случае успешной авторизации. Формат <SCHEMA>://<SERVICE_NAME>.><NAMESAPCE>.<CLUSTER_NAME>
upstreamURL: "http://dashboard-kubernetes-dashboard.default.svc.cluster.local"
# Пропускаем проверку сертификата, если у нас самоподписанный
skipOpenidProviderTlsVerify: true
# Настройка прав доступа, пускаем на все path если мы в группе DataOPS
rules:
  - "uri=/*|groups=DataOPS"

ਉਸ ਤੋਂ ਬਾਅਦ, ਜਦੋਂ ਤੁਸੀਂ ਜਾਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹੋ kubernetes-dashboard.example.org, ਸਾਨੂੰ ਕੀਕਲੋਕ 'ਤੇ ਰੀਡਾਇਰੈਕਟ ਕੀਤਾ ਜਾਵੇਗਾ ਅਤੇ ਸਫਲ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਸਥਿਤੀ ਵਿੱਚ ਅਸੀਂ ਪਹਿਲਾਂ ਹੀ ਲੌਗਇਨ ਕੀਤੇ ਡੈਸ਼ਬੋਰਡ 'ਤੇ ਪਹੁੰਚ ਜਾਵਾਂਗੇ।

ਗੈਂਗਵੇਅ ਸਥਾਪਨਾ

ਸਹੂਲਤ ਲਈ, ਤੁਸੀਂ ਇੱਕ ਗੈਂਗਵੇਅ ਜੋੜ ਸਕਦੇ ਹੋ ਜੋ ਕਿ kubectl ਲਈ ਇੱਕ ਸੰਰਚਨਾ ਫਾਈਲ ਤਿਆਰ ਕਰੇਗਾ, ਜਿਸਦੀ ਮਦਦ ਨਾਲ ਅਸੀਂ ਆਪਣੇ ਉਪਭੋਗਤਾ ਦੇ ਅਧੀਨ ਕੁਬਰਨੇਟਸ ਵਿੱਚ ਜਾਵਾਂਗੇ।

helm install --name gangway stable/gangway -f values_gangway.yaml

values_gangway.yaml

gangway:
  # Произвольное имя кластера
  clusterName: "my-k8s"
  # Где у нас OIDC провайдер
  authorizeURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/auth"
  tokenURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/token"
  audience: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/userinfo"
  # Теоритически сюда можно добавить groups которые мы замапили
  scopes: ["openid", "profile", "email", "offline_access"]
  redirectURL: "https://gangway.example.org/callback"
  # Имя клиента
  clientID: "kubernetes"
  # Секрет
  clientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
  # Если оставить дефолтное значние, то за имя пользователя будет братья <b>Frist name</b> <b>Second name</b>, а при "sub" его логин
  usernameClaim: "sub"
  # Доменное имя или IP адресс API сервера
  apiServerURL: "https://192.168.99.111:8443"

# Включаем Ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/proxy-buffer-size: "64k"
  path: /
  hosts:
  - gangway.example.org
  tls:
  - secretName: tls-keycloak
    hosts:
      - gangway.example.org

# Если используем самоподписанный сертификат, то его(открытый корневой сертификат) надо указать.
trustedCACert: |-
 -----BEGIN CERTIFICATE-----
 MIIDVzCCAj+gAwIBAgIBATANBgkqhkiG9w0BAQsFADA1MQswCQYDVQQGEwJVUzEQMA4GA1UEChMHRGF0YU9QUzEUMBIGA1UEAxMLbXkgcm9vdCBrZXkwHhcNMjAwMjE0MDkxODAwWhcNMzAwMjE0MDkxODAwWjA1MQswCQYDVQQGEwJVUzEQMA4GA1UEChMHRGF0YU9QUzEUMBIGA1UEAxMLbXkgcm9vdCBrZXkwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQDyP749PqqIRwNSqaK6qr0Zsi03G4PTCUlgaYTPZuMrwUVPK8xX2dWWs9MPRMOdXpgr8aSTZnVfmelIlVz4D7o2vK5rfmAe9GPcK0WbwKwXyhFU0flS9sU/g46ogHFrk03SZxQAeJhMLfEmAJm8LF5HghtGDs3t4uwGsB95o+lqPLiBvxRB8ZS3jSpYpvPgXAuZWKdZUQ3UUZf0X3hGLp7uIcIwJ7i4MduOGaQEO4cePeEJy9aDAO6qV78YmHbyh9kaW+1DL/Sgq8NmTgHGV6UOnAPKHTnMKXl6KkyUz8uLBGIdVhPxrlzG1EzXresJbJenSZ+FZqm3oLqZbw54Yp5hAgMBAAGjcjBwMA8GA1UdEwEB/wQFMAMBAf8wHQYDVR0OBBYEFHISTOU/6BQqqnOZj+1xJfxpjiG0MAsGA1UdDwQEAwIBBjARBglghkgBhvhCAQEEBAMCAAcwHgYJYIZIAYb4QgENBBEWD3hjYSBjZXJ0aWZpY2F0ZTANBgkqhkiG9w0BAQsFAAOCAQEAj7HC8ObibwOLT4ZYmISJZwub9lcE0AZ5cWkPW39j/syhdbbqjK/6jy2D3WUEbR+s1Vson5Ov7JhN5In2yfZ/ByDvBnoj7CP8Q/ZMjTJgwN7j0rgmEb3CTZvnDPAz8Ijw3FP0cjxfoZ1Z0V2F44Ry7gtLJWr06+MztXVyto3aIz1/XbMQnXYlzc3c3B5yUQIy44Ce5aLRVsAjmXNqVRmDJ2QPNLicvrhnUJsO0zFWI+zZ2hc4Ge1RotCrjfOc9hQY63jZJ17myCZ6QCD7yzMzAob4vrgmkD4q7tpGrhPY/gDcE+lUNhC7DO3l0oPy2wsnT2TEn87eyWmDiTFG9zWDew==
 -----END CERTIFICATE-----

ਇਸ ਤਰ੍ਹਾਂ ਲੱਗਦਾ ਹੈ। ਤੁਹਾਨੂੰ ਸੰਰਚਨਾ ਫਾਈਲ ਨੂੰ ਤੁਰੰਤ ਡਾਊਨਲੋਡ ਕਰਨ ਅਤੇ ਕਮਾਂਡਾਂ ਦੇ ਸੈੱਟ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇਸਨੂੰ ਬਣਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ:

ਸਰੋਤ: www.habr.com