ProHoster > Blog > Administracija > Povezujemo ActiveDirectory autentifikaciju s Kubernetesom putem Keycloak-a

Povezujemo ActiveDirectory autentifikaciju s Kubernetesom putem Keycloak-a

Ovaj članak napisan je s ciljem da proširi već postojeću, ali govori o karakteristikama povezanosti posebno s Microsoft ActiveDirectory, kao i dopunjuje istu.

U ovom članku ću objasniti kako instalirati i konfigurirati:

  • Keycloak — to je projekt s otvorenim kodom koji pruža jedinstvenu točku pristupa za aplikacije. Radi s brojnim protokolima, uključujući LDAP i OpenID koji nas zanimaju.
  • Keycloak gatekeeper — aplikacija reverznog proxy-a koja omogućava integraciju autentifikacije putem Keycloak-a.
  • Gangway — aplikacija koja generira konfiguracijski fajl za kubectl putem kojeg se putem OpenID-a može autentifikovati i povezati s Kubernetes API-em.

Kako funkcionišu prava u Kubernetesu.

Upravljaćemo pravima korisnika/grupa putem RBAC-a, o tom i sličnim temama već postoji mnoštvo članaka, neću se detaljno zadržavati na tome. Problem je u tome što, iako možete koristiti RBAC za ograničavanje prava korisnika, Kubernetes ne zna ništa o korisnicima. To znači da nam je potreban mehanizam za dostavljanje korisnika u Kubernetes. U tu svrhu dodajemo OpenID provajdera u Kubernetes koji će potvrditi da takav korisnik zaista postoji, a prava će dodeliti sam Kubernetes.

Priprava

  • Trebaće vam Kubernetes klaster ili minikube
  • Active Directory
  • Domeni:
    keycloak.example.org
    kubernetes-dashboard.example.org
    gangway.example.org
  • Sertifikat za domene ili samopotpisani sertifikat

Neću se detaljno zadržavati na tome kako kreirati samopotpisane sertifikate, potrebno je stvoriti 2 sertifikata, jedan koji je korenirani (Centar za sertifikaciju) i wildcard klijentski za domen *.example.org

Nakon što dobijete/izradite sertifikate, klijentski je potrebno dodati u Kubernetes, za to kreiramo tajnu:

kubectl create secret tls tls-keycloak --cert=example.org.crt --key=example.org.pem

Nakon toga ćemo ga koristiti za naš Ingress kontroler

Instalacija Keycloak-a

Odlučio sam da je najlakše koristiti gotova rešenja za to, posebno helm chart-ove.

Instaliramo repozitorij i ažuriramo ga:

helm repo add codecentric https://codecentric.github.io/helm-charts
helm repo update

Kreiramo datoteku keycloak.yml s naslednjim sadržajem:

keycloak.yml

keycloak:
  # Ime administratora
  username: "test_admin"
  # Ložje administratora  
  password: "admin"
  # Ti zastavice so potrebne, da omogočimo nalaganje skriptov v Keycloak neposredno preko spletnega vmesnika. To nam 
  bo potrebno za odpravo enega bug-a, o katerem bomo govorili spodaj.
  extraArgs: "-Dkeycloak.profile.feature.script=enabled -Dkeycloak.profile.feature.upload_scripts=enabled" 
  # Vključimo ingress, navedemo ime gostitelja in certifikat, ki smo ga prej shranili v secrets
  ingress:
    enabled: true 
    path: \/
    annotations:
      kubernetes.io\/ingress.class: nginx
      ingress.kubernetes.io\/affinity: cookie
    hosts:
      - keycloak.example.org
    tls:
    - hosts:
        - keycloak.example.org
      secretName: tls-keycloak
  # Keycloak za svoje delovanje potrebuje bazo podatkov, v testne namene zagnem Postgresql neposredno v Kubernetes, v produkciji tega ni dobro početi!
  persistence:
    deployPostgres: true
    dbVendor: postgres

postgresql:
  postgresUser: keycloak
  postgresPassword: ""
  postgresDatabase: keycloak
  persistence:
    enabled: true

Nastavitev federacije

Nato se prijavite v spletnem vmesniku keycloak.example.org

V levem zgornjem kotu kliknite Dodaj domeno

Ključ
Vrednost

Ime
kubernetes

Prikazno ime
Kubernetes

Izklopite preverjanje potrditve e-pošte uporabnika:
Client scopes —> Email —> Mappers —> Preverjeno e-poštno sporočilo (Izbriši)

Nastavljamo federacijo za uvoz uporabnikov iz Active Directory-a, priložil bom posnetke zaslona, mislim, da bo tako jasneje.

User federation —> Dodaj ponudnika… —> ldap

Nastavitev federacijePovezujemo ActiveDirectory autentifikaciju s Kubernetesom putem Keycloak-a
Povezujemo ActiveDirectory autentifikaciju s Kubernetesom putem Keycloak-a

Če je vse v redu, boste po kliku na gumb Sinhroniziraj vse uporabnike videli sporočilo o uspešnem uvozu uporabnikov.

Nato moramo preslikati naše skupine

User federation —> ldap_localhost —> Mappers —> Ustvari

Ustvarjanje preslikovalcaPovezujemo ActiveDirectory autentifikaciju s Kubernetesom putem Keycloak-a

Nastavitev stranke

Moramo ustvariti stranko, v pojmih Keycloak je to aplikacija, ki se bo v njej avtorizirala. Pomembne točke bom izpostavil na posnetku zaslona z rdečo barvo.

Clients —> Ustvari

Nastavitev strankePovezujemo ActiveDirectory autentifikaciju s Kubernetesom putem Keycloak-a

Ustvarimo scoupe za skupine:

Client Scopes —> Ustvari

Ustvarjanje scoupePovezujemo ActiveDirectory autentifikaciju s Kubernetesom putem Keycloak-a

In nastavimo mappers zanje:

Client Scopes —> groups —> Mappers —> Ustvari

MapperPovezujemo ActiveDirectory autentifikaciju s Kubernetesom putem Keycloak-a

Dodajamo preslikavo naših skupin v privzete client scoupe:

Clients —> kubernetes —> Client Scopes —> Privzete Client Scopes
Izbiramo groups u Na voljo Client Scopes, kliknite Dodaj izbrano

Pridobimo skrivnost (in jo zapišemo nekam), ki jo bomo uporabili za avtorizacijo v Keycloak:

Clients —> kubernetes —> Credentials —> Secret
S tem je nastavitev končana, vendar sem naletel na napako, ko sem po uspešni avtorizaciji prejel napako 403. Poročilo o napaki.

Popravilo:

Client Scopes —> roles —> Mappers —> Ustvari

MapperPovezujemo ActiveDirectory autentifikaciju s Kubernetesom putem Keycloak-a

Koda skripte

// add current client-id to token audience
token.addAudience(token.getIssuedFor());

// return token issuer as dummy result assigned to iss again
token.getIssuer();

Nastavitev Kubernetes

Moramo navesti, kje se nahaja naš korenski certifikat s spletne strani, in kje se nahaja ponudnik OIDC.
Zato uredimo datoteko \/etc\/kubernetes\/manifests\/kube-apiserver.yaml

kube-apiserver.yaml


...
spec:
  containers:
  - command:
    - kube-apiserver
...
    - --oidc-ca-file=/var/lib/minikube/certs/My_Root.crt
    - --oidc-client-id=kubernetes
    - --oidc-groups-claim=groups
    - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes
    - --oidc-username-claim=email
...

Обновляем kubeadm конфигурацию в кластере:

kubeadm config

kubectl edit -n kube-system configmaps kubeadm-config


...
data:
  ClusterConfiguration: |
    apiServer:
      extraArgs:
        oidc-ca-file: /var/lib/minikube/certs/My_Root.crt
        oidc-client-id: kubernetes
        oidc-groups-claim: groups
        oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes
        oidc-username-claim: email
...

Настройка auth-proxy

Для защиты вашего веб-приложения можно использовать keycloak gatekeeper. Этот реверс-прокси авторизует пользователя перед тем, как показать страницу, и передает конечному приложению информацию о вас в заголовках. Если ваше приложение поддерживает OpenID, пользователь сразу авторизуется. Рассмотрим это на примере Kubernetes Dashboard.

Установка Kubernetes Dashboard


helm install stable/kubernetes-dashboard --name dashboard -f values_dashboard.yaml

values_dashboard.yaml

enableInsecureLogin: true
service:
  externalPort: 80
rbac:
  clusterAdminRole: true
  create: true
serviceAccount:
  create: true
  name: 'dashboard-test'

Настройка прав доступа:

Создадим ClusterRoleBinding, который даст права администратора кластера (стандартная ClusterRole cluster-admin) для пользователей, состоящих в группе DataOPS.


kubectl apply -f rbac.yaml

rbac.yaml


apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: dataops_group
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: DataOPS

Установка keycloak gatekeeper:


helm repo add gabibbo97 https://gabibbo97.github.io/charts/
helm repo update
helm install gabibbo97/keycloak-gatekeeper --version 2.1.0 --name keycloak-gatekeeper -f values_proxy.yaml

values_proxy.yaml



# Включаем ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
  path: /
  hosts:
    - kubernetes-dashboard.example.org
  tls:
   - secretName: tls-keycloak
     hosts:
       - kubernetes-dashboard.example.org

# Говорим где мы будем авторизовываться у OIDC провайдера
discoveryURL: "https://keycloak.example.org/auth/realms/kubernetes"
# Имя клиента которого мы создали в Keycloak
ClientID: "kubernetes"
# Secret который я просил записать
ClientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
# Куда перенаправить в случае успешной авторизации. Формат <SCHEMA>://<SERVICE_NAME>.><NAMESAPCE>.<CLUSTER_NAME>
upstreamURL: "http://dashboard-kubernetes-dashboard.default.svc.cluster.local"
# Пропускаем проверку сертификата, если у нас самоподписанный
skipOpenidProviderTlsVerify: true
# Настройка прав доступа, пускаем на все path если мы в группе DataOPS
rules:
  - "uri=/*|groups=DataOPS"

После этого, при попытке зайти на kubernetes-dashboard.example.org, произойдет перенаправление на Keycloak, и в случае удачной авторизации мы попадем в Dashboard уже залогиненным.

Установка gangway

Для удобства можно добавить gangway, который будет генерировать файл конфигурации для kubectl, с помощью которого мы уже под своим пользователем попадем в Kubernetes.


helm install --name gangway stable/gangway -f values_gangway.yaml

values_gangway.yaml


gangway:
  # Prosto ime klastera
  clusterName: "my-k8s"
  # Kde máme OIDC poskytovatele
  authorizeURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/auth"
  tokenURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/token"
  audience: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/userinfo"
  # Teoreticky sem můžeme přidat skupiny, které jsme namapovali
  scopes: ["openid", "profile", "email", "offline_access"]
  redirectURL: "https://gangway.example.org/callback"
  # Jméno klienta
  clientID: "kubernetes"
  # Tajný klíč
  clientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
  # Pokud necháte výchozí hodnotu, tak se použije uživatelské jméno <b>Křestní jméno</b> <b>Příjmení</b>, a při "sub" jeho přihlašovací údaje
  usernameClaim: "sub"
  # Doménové jméno nebo IP adresa API serveru
  apiServerURL: "https://192.168.99.111:8443"

# Zapneme Ingress
  ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/proxy-buffer-size: "64k"
  path: /
  hosts:
  - gangway.example.org
  tls:
  - secretName: tls-keycloak
    hosts:
      - gangway.example.org

# Pokud používáme self-signed certifikát, je třeba uvést jeho (otevřený kořenový certifikát).
trustedCACert: |-
 -----BEGIN CERTIFICATE-----
 MIIDVzCCAj+gAwIBAgIBATANBgkqhkiG9w0BAQsFADA1MQswCQYDVQQGEwJVUzEQMA4GA1UEChMHRGF0YU9QUzEUMBIGA1UEAxMLbXkgcm9vdCBrZXkwHhcNMjAwMjE0MDkxODAwWhcNMzMwMjE0MDkxODAwWjA1MQswCQYDVQQGEwJVUzEQMA4GA1UEChMHRGF0YU9QUzEUMBIGA1UEAxMLbXkgcm9vdCBrZXkwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQDyP749PqqIRwNSqaK6qr0Zsi03G4PTCUlgaYTPZuMrwUVPK8xX2dWWs9MPRMOdXpgr8aSTZnVfmelIlVz4D7o2vK5rfmAe9GPcK0WbwKwXyhFU0flS9sU/g46ogHFrk03SZxQAeJhMLfEmAJm8LF5HghtGDs3t4uwGsB95o+lqPLiBvxRB8ZS3jSpYpvPgXAuZWKdZUQ3UUZf0X3hGLp7uIcIwJ7i4MduOGaQEO4cePeEJy9aDAO6qV78YmHbyh9kaW+1DL/Sgq8NmTgHGV6UOnAPKHTnMKXl6KkyUz8uLBGIdVhPxrlzG1EzXresJbJenSZ+FZqm3oLqZbw54Yp5hAgMBAAGjcjBwMA8GA1UdEwEB/wQFMAMBAf8wHQYDVR0OBBYEFHISTOU/6BQqqnOZj+1xJfxpjiG0MAsGA1UdDwQEAwIBBjARBglghkgBhvhCAQEEBAMCAAcwHgYJYIZIAYb4QgENBBEWD3hjYSBjZXJ0aWZpY2F0ZTANBgkqhkiG9w0BAQsFAAOCAQEAj7HC8ObibwOLT4ZYmISJZwub9lcE0AZ5cWkPW39j/syhdbbqjK/6jy2D3WUEbR+s1Vson5Ov7JhN5In2yfZ/ByDvBnoj7CP8Q/ZMjTJgwN7j0rgmEb3CTZvnDPAz8Ijw3FP0cjxfoZ1Z0V2F44Ry7gtLJWr06+MztXVyto3aIz1/XbMQnXYlzc3c3B5yUQIy44Ce5aLRVsAjmXNqVRmDJ2QPNLicvrhnUJsO0zFWI+zZ2hc4Ge1RotCrjfOc9hQY63jZJ17myCZ6QCD7yzMzAob4vrgmkD4q7tpGrhPY/gDcE+lUNhC7DO3l0oPy2wsnT2TEn87eyWmDiTFG9zWDew==
 -----END CERTIFICATE-----

Выглядит примерно так. Позволяет как сразу скачать файл конфигурации, так и сформировать его, используя набор команд:

Povezujemo ActiveDirectory autentifikaciju s Kubernetesom putem Keycloak-a

Izvor: habr.com

Kupite zanesljivo gostovanje za spletne strani z zaščito pred DDoS, VPS VDS strežniki 🔥 Kupite zanesljivo gostovanje za spletne strani z zaščito pred DDoS, VPS VDS strežniki | ProHoster