कुबेरनेट्स टिप्स एंड ट्रिक्स: देव साइटों तक पहुंच

हम कुबेरनेट्स के साथ अपने दैनिक काम में डेवलपर्स और डेवलपर्स के लिए जीवन को आसान बनाने के लिए व्यावहारिक कैसे-कैसे लेखों की एक श्रृंखला जारी रखते हैं। ये सभी ग्राहकों से समस्याओं को सुलझाने में हमारे अनुभव से एकत्र हुए हैं और समय के साथ बेहतर हुए हैं, लेकिन अभी भी आदर्श होने का दावा नहीं करते हैं - उन्हें विचारों और रिक्तताओं के रूप में अधिक मानें, अपने समाधान और टिप्पणियों में सुधार का सुझाव दें।


इस बार, दो विषयों पर विचार किया जाएगा, सशर्त रूप से एक विषय से संबंधित होगा: देव पर्यावरण के लिए उपयोगकर्ता की पहुंच।

1. हम अनावश्यक उपयोगकर्ताओं से देव-सर्किट कैसे बंद करते हैं?

हम अक्सर मूल देवता या श्वेत सूची के पीछे पूरे देव-सर्किट (दसियों / सैकड़ों आवेदन) को बंद करने के कार्य का सामना करते हैं, ताकि खोज बॉट या बस तीसरे पक्ष के लोग वहां नहीं पहुंच सकें।

आमतौर पर, एक्सेस को सीमित करने के लिए, प्रत्येक इनग्रेशन और एप्लिकेशन को अलग-अलग बेसिक सीक्रेट सीक्रेट्स बनाने की आवश्यकता होती है। एक दर्जन अनुप्रयोगों के साथ टाइप करने पर उन्हें प्रबंधित करना बहुत समस्याग्रस्त है। इसलिए, हमने केंद्रीकृत अभिगम नियंत्रण का आयोजन किया।

ऐसा करने के लिए, इस प्रकार के विन्यास के साथ nginx बनाया गया था:

location / { satisfy any; auth_basic "Authentication or whitelist!"; auth_basic_user_file /etc/nginx/htpasswd/htpasswd; allow 10.0.0.0/8; allow 175.28.12.2/32; deny all; try_files FAKE_NON_EXISTENT @return200; } location @return200 { return 200 Ok; } 

आवेदन के इनग्रेड में आगे, हम केवल एनोटेशन जोड़ते हैं:

ingress.kubernetes.io/auth-url: "http://dev-auth.dev-auth-infra.svc.cluster.local"

इस प्रकार, एप्लिकेशन को एक्सेस करते समय, अनुरोध dev-auth चला जाता है, जो यह जांचता है कि क्या सही बेसिक ऑर्ट दर्ज किया गया है या क्लाइंट वाइटलिस्ट में प्रवेश करता है। यदि शर्तों में से एक को पूरा किया जाता है, तो अनुरोध की पुष्टि की जाती है और आवेदन में पास हो जाता है।



इस तरह की सेवा का उपयोग करने के मामले में, एक रिपॉजिटरी पर्याप्त है, जिसमें सभी एक्सेस की एक सूची संग्रहीत है और जिसके माध्यम से हम अपने "एकल प्राधिकरण केंद्र" को आसानी से कॉन्फ़िगर कर सकते हैं। नए अनुप्रयोगों में इसका वितरण एनोटेशन के प्राथमिक जोड़ द्वारा किया जाता है।

2. हम देव परिवेश में कुबेरनेट्स के अंदर अनुप्रयोगों तक कैसे पहुँच प्रदान करते हैं?

... यह Redis, RabbitMQ, PostgreSQL या Xdebug का पसंदीदा PHP डेवलपर हो।

बहुत बार, जब बेहतर सुरक्षा सुनिश्चित करने के लिए, कुबेरनेट्स में अनुप्रयोगों का अनुवाद करते हैं, तो हमें बाहर और पूरी तरह से पहुंच को अवरुद्ध करना होगा। और फिर डेवलपर्स जो डेटाबेस में या Xdebug के लिए "अपनी IDE" जाने के आदी हैं, गंभीर कठिनाइयों का अनुभव करते हैं।

इस समस्या को हल करने के लिए, हम सीधे Kubernetes क्लस्टर में एक वीपीएन का उपयोग करते हैं। सामान्य योजना ऐसा दिखता है कि K8s में चल रहे वीपीएन सर्वर से कनेक्ट होने पर, ओपनवीपीएन कॉन्फ़िगरेशन फ़ाइल में हम DNS सर्वर के पते को धक्का देते हैं, जो कि K8 में भी रहता है। ओपनवीपीएन वीपीएन को इस तरह से कॉन्फ़िगर करता है कि जब यह कुबेरनेट्स के अंदर एक संसाधन का अनुरोध करता है, तो यह सबसे पहले कुबेरनेट्स डीएनएस सर्वर पर जाता है - उदाहरण के लिए, redis.production.svc.cluster.local सेवा के पते के पीछे। Kubernetes में DNS इसे 10.244.1.15 पर हल करता है और इस IP पते के लिए अनुरोध OpenVPN के माध्यम से सीधे Kubernetes क्लस्टर पर जाता है।

इस समाधान के संचालन के दौरान, हम बार-बार इसका विस्तार करने में कामयाब रहे। विशेष रूप से:

1. चूंकि हमें वीपीएन तक पहुंच के लिए लेखांकन के लिए एक सरल और पर्याप्त (हमारे मामले के लिए) व्यवस्थापक पैनल नहीं मिला था, हमें अपना स्वयं का सरल इंटरफ़ेस बनाना था - आधिकारिक चार्ट केवल प्रमाण पत्र जारी करने के लिए कंसोल कमांड लॉन्च करने का विकल्प प्रदान करता है।
   
   परिणामी व्यवस्थापक पैनल ( डॉकर हब पर भी देखें) बहुत तपस्वी दिखता है:
   
   
   आप नए उपयोगकर्ता बना सकते हैं या पुराने प्रमाणपत्र रद्द कर सकते हैं:
   
   
   आप इस ग्राहक के लिए विन्यास भी देख सकते हैं:
   
   
2. हमने GitLab में उपयोगकर्ताओं के आधार पर वीपीएन में प्राधिकरण जोड़ा है, जहां पासवर्ड की जाँच की जाती है और यदि उपयोगकर्ता GitLab में सक्रिय है। यह उन मामलों के लिए है जब ग्राहक उन उपयोगकर्ताओं को प्रबंधित करना चाहता है जो केवल जीटीलैब के आधार पर देव वीपीएन से जुड़ सकते हैं, और अतिरिक्त प्रवेश के उपयोग के बिना - एक अर्थ में, यह "गरीबों के लिए एसएसओ" है। एक आधार के रूप में, उन्होंने पहले से ही तैयार चार्ट का उल्लेख किया।
   
   ऐसा करने के लिए, हमने एक पायथन स्क्रिप्ट लिखी है, जो उपयोगकर्ता को OpenVPN से कनेक्ट करते समय, उपयोगकर्ता नाम और पासवर्ड का उपयोग करते हुए, GitLab डेटाबेस में हैश की तुलना करता है और इसकी स्थिति (चाहे वह सक्रिय हो) की जांच करता है।
   
   
   
   यहाँ स्क्रिप्ट ही है:
   
   

    #!/usr/bin/env python3 # pip3 install psycopg2-binary bcrypt import bcrypt import sys import os import psycopg2 import yaml with open("/etc/openvpn/setup/config.yaml", 'r') as ymlfile: cfg = yaml.load(ymlfile) def get_user_info(username=''): try: connect_str = "dbname=%s user=%s host=%s password=%s" % (cfg['db'], cfg['user'], cfg['host'], cfg['pass']) # use our connection values to establish a connection conn = psycopg2.connect(connect_str) # create a psycopg2 cursor that can execute queries cursor = conn.cursor() # create a new table with a single column called "name" cursor.execute("""SELECT encrypted_password,state FROM users WHERE username='%s';""" % username) # run a SELECT statement - no data in there, but we can try it rows = cursor.fetchall() print(rows) return(rows[0]) except Exception as e: print("Uh oh, can't connect. Invalid dbname, user or password?") print(e) def check_user_auth(): username = os.environ['username'] password = bytes(os.environ['password'], 'utf-8') # hashed = bcrypt.hashpw(password, bcrypt.gensalt()) user_info = get_user_info(username=username) user_encrypted_password = bytes(user_info[0], 'utf-8') user_state = True if user_info[1] == 'active' else False if bcrypt.checkpw(password, user_encrypted_password) and user_state: print("It matches!") sys.exit(0) else: print("It does not match :(") sys.exit(1) def main(): check_user_auth() if __name__ == '__main__': main() 

   
   और OpenVPN कॉन्फिग में केवल निम्नलिखित निर्दिष्ट करें:
   
   auth-user-pass-verify /etc/openvpn/auth-user.py via-env
script-security 3
client-cert-not-required
   
   इस प्रकार, यदि कोई कर्मचारी क्लाइंट को छोड़ देता है, तो उन्होंने उसे GitLab में निष्क्रिय कर दिया, जिसके बाद वह वीपीएन से कनेक्ट नहीं हो पाएगा।

एक निष्कर्ष के बजाय

कुबेरनेट ऑपरेशन के लिए व्यावहारिक फ़्लैंट व्यंजनों के साथ लेखों की एक श्रृंखला जारी रखते हुए, मैं विशिष्ट कार्यों (क्यों और कैसे?) के लिए अलग-अलग नोड्स को उजागर करने जैसे विषयों को कवर करूंगा और भारी लोड में कंटेनर में चलने वाली php-fpm / gunicorn जैसी सेवाओं को कॉन्फ़िगर करना। अपडेट को याद न रखने के लिए हमारे ब्लॉग की सदस्यता लें!

पुनश्च

K8s टिप्स एंड ट्रिक्स चक्र से अन्य:

• " एनजीआईएनएक्स इनग्रेड में निजीकृत त्रुटि पृष्ठ ";
• " हेल्म 2 प्रबंधन के लिए एक क्लस्टर में काम करने वाले संसाधनों का स्थानांतरण ";
• " नोड के आवंटन और वेब एप्लिकेशन पर लोड पर ";
• " बड़े डेटाबेस के बूटस्ट्रैप को तेज करना। "

हमारे ब्लॉग में भी पढ़ें:

• " 11 तरीके (नॉट) कुबेरनेट्स हैकिंग का शिकार बनें ";
• " डब और GitLab CI का उपयोग करके कुबेरनेट्स में एप्लिकेशन बनाएं और स्थापित करें ";
• " निगरानी और कुबेरनेट्स " (समीक्षा और वीडियो रिपोर्ट) ;
• " छोटी परियोजनाओं में कुबेरनेट्स के साथ हमारा अनुभव " (वीडियो रिपोर्ट, जिसमें कुबेरनेट्स तकनीकी उपकरण का परिचय शामिल है) ।