Keycloak yordamida Kubernetes-ga ActiveDirectory avtorizatsiyasini mustahkamlaymiz

Ushbu maqola allaqachon ma'lumotni kengaytirish uchun yozilgan mavjud, lekin Microsoft ActiveDirectory bilan to'plamning xususiyatlari haqida gapiradi va uni to'ldiradi.

Ushbu maqolada men sizga qanday o'rnatish va sozlashni aytaman:

• kalit plash ochiq kodli loyihadir. Bu ilovalar uchun yagona kirish nuqtasini ta'minlaydi. Ko'pgina protokollar, jumladan, bizni qiziqtirgan LDAP va OpenID bilan ishlaydi.
• kalit plash darvozaboni - Keycloak orqali avtorizatsiyani birlashtirish imkonini beruvchi teskari proksi-ilova.
• o'tish yo'li - kubectl uchun konfiguratsiyani yaratadigan dastur, uning yordamida siz tizimga kirishingiz va OpenID orqali Kubernetes API-ga ulanishingiz mumkin.

Ruxsatlar Kubernetesda qanday ishlaydi.

Biz RBAC-dan foydalangan holda foydalanuvchi / guruh huquqlarini boshqarishimiz mumkin, bu haqda bir qancha maqolalar allaqachon yaratilgan, men bu haqda batafsil to'xtalmayman. Muammo shundaki, siz RBAC-dan foydalanuvchi huquqlarini cheklash uchun foydalanishingiz mumkin, ammo Kubernetes foydalanuvchilar haqida hech narsa bilmaydi. Ma'lum bo'lishicha, bizga Kubernetes-da foydalanuvchilarni etkazib berish mexanizmi kerak. Buning uchun biz Kuberntes OpenID-ga provayderni qo'shamiz, u bunday foydalanuvchi haqiqatan ham borligini aytadi va Kubernetesning o'zi unga huquqlarni beradi.

o'quv

• Sizga Kubernetes klasteri yoki minikube kerak bo'ladi
• Active Directory
• Domenlar:
  keycloak.example.org
  kubernetes-dashboard.example.org
  gangway.example.org
• Domenlar uchun sertifikat yoki o'z-o'zidan imzolangan sertifikat

O'z-o'zidan imzolangan sertifikatni qanday yaratish haqida to'xtalmayman, siz 2 ta sertifikat yaratishingiz kerak, bu ildiz (sertifikat organi) va *.example.org domeni uchun joker mijoz.

Sertifikatlarni olganingizdan / berganingizdan so'ng, mijoz Kubernetes-ga qo'shilishi kerak, buning uchun biz uning sirini yaratamiz:

kubectl create secret tls tls-keycloak --cert=example.org.crt --key=example.org.pem

Keyinchalik, biz uni Ingress boshqaruvchisi uchun ishlatamiz.

Keycloak o'rnatish

Men eng oson yo'li buning uchun tayyor echimlardan, ya'ni rul diagrammalaridan foydalanishga qaror qildim.

Repozitoriyni o'rnating va uni yangilang:

helm repo add codecentric https://codecentric.github.io/helm-charts
helm repo update

Quyidagi tarkibga ega keycloak.yml faylini yarating:

keycloak.yml

keycloak:
  # Имя администратора
  username: "test_admin"
  # Пароль администратор  
  password: "admin"
  # Эти флаги нужны что бы позволить загружать в Keycloak скрипты прямо через web морду. Это нам 
  понадобиться что бы починить один баг, о котором ниже.
  extraArgs: "-Dkeycloak.profile.feature.script=enabled -Dkeycloak.profile.feature.upload_scripts=enabled" 
  # Включаем ingress, указываем имя хоста и сертификат который мы предварительно сохранили в secrets
  ingress:
    enabled: true 
    path: /
    annotations:
      kubernetes.io/ingress.class: nginx
      ingress.kubernetes.io/affinity: cookie
    hosts:
      - keycloak.example.org
    tls:
    - hosts:
        - keycloak.example.org
      secretName: tls-keycloak
  # Keycloak для своей работы требует базу данных, в тестовых целях я разворачиваю Postgresql прямо в Kuberntes, в продакшене так лучше не делать!
  persistence:
    deployPostgres: true
    dbVendor: postgres

postgresql:
  postgresUser: keycloak
  postgresPassword: ""
  postgresDatabase: keycloak
  persistence:
    enabled: true

Federatsiyani o'rnatish

Keyin veb-interfeysga o'ting keycloak.example.org

Chap burchakda bosing Hudud qo'shing

kalit
qiymati

Ism
kubernetlar

Ko'rsatiladigan ism
Kubernetes

Foydalanuvchi elektron pochta tekshiruvini o'chirish:
Mijoz doiralari -> Elektron pochta -> Xaritachilar -> Elektron pochta tasdiqlangan (O'chirish)

Biz ActiveDirectory'dan foydalanuvchilarni import qilish uchun federatsiyani o'rnatdik, men quyida skrinshotlarni qoldiraman, menimcha, bu aniqroq bo'ladi.

Foydalanuvchi federatsiyasi —> Provayder qo‘shish… —> ldap

Federatsiyani o'rnatish


Agar hamma narsa yaxshi bo'lsa, tugmani bosgandan keyin Barcha foydalanuvchilarni sinxronlashtiring foydalanuvchilarni muvaffaqiyatli import qilish haqida xabarni ko'rasiz.

Keyin biz guruhlarimizni xaritalashimiz kerak

Foydalanuvchi federatsiyasi --> ldap_localhost --> Xaritachilar --> Yaratish

Mapper yaratish

Mijozni sozlash

Keycloak nuqtai nazaridan mijozni yaratish kerak, bu undan avtorizatsiya qilinadigan dastur. Skrinshotdagi muhim fikrlarni qizil rang bilan ta'kidlayman.

Mijozlar -> Yaratish

Mijozni sozlash

Keling, guruhlar uchun skupa yarataylik:

Mijoz doiralari -> Yaratish

Qo'llanish doirasini yaratish

Va ular uchun xaritachini o'rnating:

Mijoz doiralari -> guruhlar -> Xaritachilar -> Yaratish

Xaritachi

Guruhlarimiz xaritasini standart mijozlar doirasiga qo'shing:

Mijozlar -> kubernetes -> Mijoz doiralari -> Standart mijoz doiralari
Tanlaymiz Guruhlar в Mavjud mijozlar doiralaribosing Tanlangan qo'shish

Biz Keycloak-da avtorizatsiya qilish uchun foydalanadigan sirni olamiz (va uni mavzuga yozamiz):

Mijozlar -> kubernetes -> Hisob ma'lumotlari -> Sir
Bu sozlashni yakunlaydi, lekin muvaffaqiyatli avtorizatsiyadan so'ng 403 xatosini olganimda xatolik yuz berdi. Xatolik hisoboti.

Tuzatish:

Mijoz doiralari -> rollar -> Xaritachilar -> Yaratish

Xaritachi

Skript kodi

// add current client-id to token audience
token.addAudience(token.getIssuedFor());

// return token issuer as dummy result assigned to iss again
token.getIssuer();

Kubernetes sozlanmoqda

Saytdan olingan ildiz sertifikatimiz qayerda va OIDC provayderi qayerda joylashganligini ko'rsatishimiz kerak.
Buning uchun /etc/kubernetes/manifests/kube-apiserver.yaml faylini tahrirlang.

kube-apiserver.yaml

...
spec:
  containers:
  - command:
    - kube-apiserver
...
    - --oidc-ca-file=/var/lib/minikube/certs/My_Root.crt
    - --oidc-client-id=kubernetes
    - --oidc-groups-claim=groups
    - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes
    - --oidc-username-claim=email
...

Klasterda kubeadm konfiguratsiyasini yangilang:

kubeadmconfig

kubectl edit -n kube-system configmaps kubeadm-config

...
data:
  ClusterConfiguration: |
    apiServer:
      extraArgs:
        oidc-ca-file: /var/lib/minikube/certs/My_Root.crt
        oidc-client-id: kubernetes
        oidc-groups-claim: groups
        oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes
        oidc-username-claim: email
...

Autx-proksini sozlash

Veb-ilovangizni himoya qilish uchun keycloak gatekeeper-dan foydalanishingiz mumkin. Ushbu teskari proksi-server sahifani ko'rsatishdan oldin foydalanuvchiga ruxsat berishiga qo'shimcha ravishda, u siz haqingizda ma'lumotni sarlavhalardagi oxirgi ilovaga ham uzatadi. Shunday qilib, agar ilovangiz OpenID-ni qo'llab-quvvatlasa, foydalanuvchi darhol avtorizatsiya qilinadi. Kubernetes boshqaruv paneli misolini ko'rib chiqing

Kubernetes boshqaruv panelini o'rnatish

helm install stable/kubernetes-dashboard --name dashboard -f values_dashboard.yaml

values_dashboard.yaml

enableInsecureLogin: true
service:
  externalPort: 80
rbac:
  clusterAdminRole: true
  create: true
serviceAccount:
  create: true
  name: 'dashboard-test'

Kirish huquqlarini sozlash:

DataOPS guruhidagi foydalanuvchilar uchun klaster administrator huquqlarini (standart ClusterRole klaster-administratori) beradigan ClusterRoleBinding yarataylik.

kubectl apply -f rbac.yaml

rbac.yaml

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: dataops_group
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: DataOPS

Keycloak gatekeeper-ni o'rnating:

helm repo add gabibbo97 https://gabibbo97.github.io/charts/
helm repo update
helm install gabibbo97/keycloak-gatekeeper --version 2.1.0 --name keycloak-gatekeeper -f values_proxy.yaml

values_proxy.yaml

# Включаем ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
  path: /
  hosts:
    - kubernetes-dashboard.example.org
  tls:
   - secretName: tls-keycloak
     hosts:
       - kubernetes-dashboard.example.org

# Говорим где мы будем авторизовываться у OIDC провайдера
discoveryURL: "https://keycloak.example.org/auth/realms/kubernetes"
# Имя клиента которого мы создали в Keycloak
ClientID: "kubernetes"
# Secret который я просил записать
ClientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
# Куда перенаправить в случае успешной авторизации. Формат <SCHEMA>://<SERVICE_NAME>.><NAMESAPCE>.<CLUSTER_NAME>
upstreamURL: "http://dashboard-kubernetes-dashboard.default.svc.cluster.local"
# Пропускаем проверку сертификата, если у нас самоподписанный
skipOpenidProviderTlsVerify: true
# Настройка прав доступа, пускаем на все path если мы в группе DataOPS
rules:
  - "uri=/*|groups=DataOPS"

Shundan so'ng, siz borishga harakat qilganingizda kubernetes-dashboard.example.org, biz Keycloak-ga yo'naltirilamiz va muvaffaqiyatli avtorizatsiya qilingan taqdirda biz allaqachon tizimga kirgan asboblar paneliga o'tamiz.

o'tish yo'lini o'rnatish

Qulaylik uchun siz kubectl uchun konfiguratsiya faylini yaratadigan o'tish joyini qo'shishingiz mumkin, uning yordamida biz foydalanuvchimiz ostida Kubernetesga kiramiz.

helm install --name gangway stable/gangway -f values_gangway.yaml

values_gangway.yaml

gangway:
  # Произвольное имя кластера
  clusterName: "my-k8s"
  # Где у нас OIDC провайдер
  authorizeURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/auth"
  tokenURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/token"
  audience: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/userinfo"
  # Теоритически сюда можно добавить groups которые мы замапили
  scopes: ["openid", "profile", "email", "offline_access"]
  redirectURL: "https://gangway.example.org/callback"
  # Имя клиента
  clientID: "kubernetes"
  # Секрет
  clientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
  # Если оставить дефолтное значние, то за имя пользователя будет братья <b>Frist name</b> <b>Second name</b>, а при "sub" его логин
  usernameClaim: "sub"
  # Доменное имя или IP адресс API сервера
  apiServerURL: "https://192.168.99.111:8443"

# Включаем Ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/proxy-buffer-size: "64k"
  path: /
  hosts:
  - gangway.example.org
  tls:
  - secretName: tls-keycloak
    hosts:
      - gangway.example.org

# Если используем самоподписанный сертификат, то его(открытый корневой сертификат) надо указать.
trustedCACert: |-
 -----BEGIN CERTIFICATE-----
 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
 -----END CERTIFICATE-----

Bu shunday ko'rinadi. Konfiguratsiya faylini darhol yuklab olish va uni buyruqlar to'plami yordamida yaratish imkonini beradi:

Manba: www.habr.com