👩🏼‍🎨 🍪 🐄 GitHub OAuth और Dex के साथ कुबेरनेट्स में प्रमाणीकरण 🤚🏿 👨‍✈️ 🤱🏻

मैं आपके लिए Dex, dex-k8s-Authator और GitHub का उपयोग करके कुबेरनेट्स क्लस्टर तक पहुंच बनाने के लिए एक ट्यूटोरियल प्रस्तुत करता हूं।

टेलीग्राम पर रूसी-भाषा चैट कुबेरनेट्स से स्थानीय मेम

परिचय

हम Kubernetes का उपयोग विकास टीम और QA के लिए गतिशील वातावरण बनाने के लिए करते हैं। इस प्रकार, हम उन्हें डैशबोर्ड और kubectl दोनों के लिए क्लस्टर तक पहुंच देना चाहते हैं। ओपनशिफ्ट के विपरीत, वैनिला कुबेरनेट्स के पास मूल प्रमाणीकरण नहीं है, इसलिए हम इसके लिए तीसरे पक्ष के टूल का उपयोग करते हैं।

इस कॉन्फ़िगरेशन में, हम उपयोग करते हैं:

dex-k8s-Authator - kubectl config उत्पन्न करने के लिए वेब अनुप्रयोग
डेक्स - ओपनआईडी कनेक्ट प्रदाता
GitHub - केवल इसलिए कि हम अपनी कंपनी में GitHub का उपयोग करते हैं

हमने Google OIDC का उपयोग करने की कोशिश की, लेकिन दुर्भाग्य से हम उन्हें समूहों के साथ प्राप्त नहीं कर पाए , इसलिए GitHub के साथ एकीकरण हमारे साथ काफी ठीक था। समूह मैपिंग के बिना, आप समूह-आधारित RBAC नीतियाँ नहीं बना सकते।

तो, कुबेरनेट्स में हमारी प्राधिकरण प्रक्रिया एक दृश्य प्रतिनिधित्व में कैसे काम करती है:

प्राधिकरण की प्रक्रिया

थोड़ा और विस्तार और अंक:

उपयोगकर्ता लॉग इन dex-k8s- प्रमाणक ( login.k8s.example.com )
dex-k8s-Authator अनुरोध को Dex ( dex.k8s.example.com ) पर पुनर्निर्देशित करता है
डेक्स GitHub लॉगिन पेज पर रीडायरेक्ट करता है
GitHub आवश्यक प्राधिकरण जानकारी बनाता है और इसे Dex पर लौटाता है
डेक्स प्राप्त जानकारी को डेक्स-के 8 एस-ऑथेंटेटर पास करता है
उपयोगकर्ता को GitHub से OIDC टोकन मिलता है
dex-k8s-Authator, kubeconfig में एक टोकन जोड़ता है
Kubectl KubeAPIServer को टोकन पास करता है
Kubectl में स्थानांतरित टोकन रिटर्न के आधार पर KubeAPIServer
उपयोगकर्ता को kubectl से एक्सेस मिलता है

तैयारी गतिविधियाँ

बेशक, हमारे पास पहले से ही एक Kubernetes क्लस्टर ( k8s.example.com ) स्थापित है, साथ ही साथ HELM भी है। हमारे पास GitHub (सुपर-ऑर्ग) पर एक संगठन भी है।
यदि आपके पास HELM नहीं है, तो इसे स्थापित करना बहुत आसान है ।

पहले हमें GitHub को कॉन्फ़िगर करने की आवश्यकता है।

संगठन के सेटिंग पृष्ठ पर https://github.com/organizations/super-org/settings/applications , ( https://github.com/organizations/super-org/settings/applications ) और एक नया एप्लिकेशन बनाएं (अधिकृत OAuth App):

GitHub पर एक नया एप्लिकेशन बनाना

उदाहरण के लिए, आवश्यक URL वाले फ़ील्ड भरें:

मुखपृष्ठ URL: https://dex.k8s.example.com
प्राधिकरण कॉलबैक URL: https://dex.k8s.example.com/callback

लिंक के साथ सावधान रहें, यह महत्वपूर्ण है कि स्लैश न खोएं।

भरे हुए फॉर्म के जवाब में, GitHub Client ID और Client secret जेनरेट करेगा, उन्हें एक सुरक्षित स्थान पर सहेजें, वे हमारे लिए उपयोगी होंगे (उदाहरण के लिए, हम वॉल्ट को रहस्यों को संग्रहित करने के लिए उपयोग करते हैं):

 Client ID: 1ab2c3d4e5f6g7h8 Client secret: 98z76y54x32w1

उप-डोमेन के लिए DNS रिकॉर्ड तैयार करें login.k8s.example.com और dex.k8s.example.com , साथ ही प्रवेश के लिए SSL प्रमाणपत्र।

SSL प्रमाणपत्र बनाएं:

 cat <<EOF | kubectl create -f - apiVersion: certmanager.k8s.io/v1alpha1 kind: Certificate metadata: name: cert-auth-dex namespace: kube-system spec: secretName: cert-auth-dex dnsNames: - dex.k8s.example.com acme: config: - http01: ingressClass: nginx domains: - dex.k8s.example.com issuerRef: name: le-clusterissuer kind: ClusterIssuer --- apiVersion: certmanager.k8s.io/v1alpha1 kind: Certificate metadata: name: cert-auth-login namespace: kube-system spec: secretName: cert-auth-login dnsNames: - login.k8s.example.com acme: config: - http01: ingressClass: nginx domains: - login.k8s.example.com issuerRef: name: le-clusterissuer kind: ClusterIssuer EOF kubectl describe certificates cert-auth-dex -n kube-system kubectl describe certificates cert-auth-login -n kube-system

le-clusterissuer क्लस्टरसियर नाम के साथ एक le-clusterissuer बस्टर पहले से ही मौजूद होना चाहिए, यदि नहीं, तो हेल्म का उपयोग करके इसे बनाएं:

 helm install --namespace kube-system -n cert-manager stable/cert-manager cat << EOF | kubectl create -f - apiVersion: certmanager.k8s.io/v1alpha1 kind: ClusterIssuer metadata: name: le-clusterissuer namespace: kube-system spec: acme: server: https://acme-v02.api.letsencrypt.org/directory email: k8s-admin@example.com privateKeySecretRef: name: le-clusterissuer http01: {} EOF

KubeAPIServer कॉन्फ़िगरेशन

काम करने के लिए kubeAPIServer के लिए, आपको OIDC को कॉन्फ़िगर करना होगा और क्लस्टर को अपडेट करना होगा:

 kops edit cluster ... kubeAPIServer: anonymousAuth: false authorizationMode: RBAC oidcClientID: dex-k8s-authenticator oidcGroupsClaim: groups oidcIssuerURL: https://dex.k8s.example.com/ oidcUsernameClaim: email kops update cluster --yes kops rolling-update cluster --yes

हम समूहों को तैनात करने के लिए kops का उपयोग करते हैं, लेकिन यह अन्य क्लस्टर प्रबंधकों के लिए भी समान है।

डेक्स और डेक्स-के -8-ऑथेंटेटर कॉन्फ़िगरेशन

काम करने के लिए डेक्स के लिए, आपके पास कुबेरनेट्स मास्टर से एक प्रमाण पत्र और एक कुंजी होनी चाहिए, इसे वहां से खींचना:

 sudo cat /srv/kubernetes/ca.{crt,key} -----BEGIN CERTIFICATE----- AAAAAAAAAAABBBBBBBBBBCCCCCC -----END CERTIFICATE----- -----BEGIN RSA PRIVATE KEY----- DDDDDDDDDDDEEEEEEEEEEFFFFFF -----END RSA PRIVATE KEY-----

डेक्स-के -8-ऑथरेटर रिपॉजिटरी को क्लोन करें:

 git clone git@github.com:mintel/dex-k8s-authenticator.git cd dex-k8s-authenticator/

मूल्यों-फाइलों का उपयोग करके हम अपने हेल्म चार्ट के लिए लचीले ढंग से चर सेट कर सकते हैं।

चलो Dex के लिए विन्यास का वर्णन करें:

 cat << \EOF > values-dex.yml global: deployEnv: prod tls: certificate: |- -----BEGIN CERTIFICATE----- AAAAAAAAAAABBBBBBBBBBCCCCCC -----END CERTIFICATE----- key: |- -----BEGIN RSA PRIVATE KEY----- DDDDDDDDDDDEEEEEEEEEEFFFFFF -----END RSA PRIVATE KEY----- ingress: enabled: true annotations: kubernetes.io/ingress.class: nginx kubernetes.io/tls-acme: "true" path: / hosts: - dex.k8s.example.com tls: - secretName: cert-auth-dex hosts: - dex.k8s.example.com serviceAccount: create: true name: dex-auth-sa config: | issuer: https://dex.k8s.example.com/ storage: # https://github.com/dexidp/dex/issues/798 type: sqlite3 config: file: /var/dex.db web: http: 0.0.0.0:5556 frontend: theme: "coreos" issuer: "Example Co" issuerUrl: "https://example.com" logoUrl: https://example.com/images/logo-250x25.png expiry: signingKeys: "6h" idTokens: "24h" logger: level: debug format: json oauth2: responseTypes: ["code", "token", "id_token"] skipApprovalScreen: true connectors: - type: github id: github name: GitHub config: clientID: $GITHUB_CLIENT_ID clientSecret: $GITHUB_CLIENT_SECRET redirectURI: https://dex.k8s.example.com/callback orgs: - name: super-org teams: - team-red staticClients: - id: dex-k8s-authenticator name: dex-k8s-authenticator secret: generatedLongRandomPhrase redirectURIs: - https://login.k8s.example.com/callback/ envSecrets: GITHUB_CLIENT_ID: "1ab2c3d4e5f6g7h8" GITHUB_CLIENT_SECRET: "98z76y54x32w1" EOF

और डेक्स- k8s- प्रमाणक के लिए:

 cat << EOF > values-auth.yml global: deployEnv: prod dexK8sAuthenticator: clusters: - name: k8s.example.com short_description: "k8s cluster" description: "Kubernetes cluster" issuer: https://dex.k8s.example.com/ k8s_master_uri: https://api.k8s.example.com client_id: dex-k8s-authenticator client_secret: generatedLongRandomPhrase redirect_uri: https://login.k8s.example.com/callback/ k8s_ca_pem: | -----BEGIN CERTIFICATE----- AAAAAAAAAAABBBBBBBBBBCCCCCC -----END CERTIFICATE----- ingress: enabled: true annotations: kubernetes.io/ingress.class: nginx kubernetes.io/tls-acme: "true" path: / hosts: - login.k8s.example.com tls: - secretName: cert-auth-login hosts: - login.k8s.example.com EOF

डेक्स और डेक्स- k8s- प्रमाणक स्थापित करें:

 helm install -n dex --namespace kube-system --values values-dex.yml charts/dex helm install -n dex-auth --namespace kube-system --values values-auth.yml charts/dex-k8s-authenticator

आइए सेवाओं की सेवाक्षमता की जांच करें (डेक्स को कोड 400, और डेक्स-के 8 एस-ऑथेंटेटर - कोड 200 को वापस करना चाहिए):

 curl -sI https://dex.k8s.example.com/callback | head -1 HTTP/2 400 curl -sI https://login.k8s.example.com/ | head -1 HTTP/2 200

आरबीएसी कॉन्फ़िगरेशन

हम समूह में केवल पढ़ने के लिए पहुँच वाले समूह के लिए क्लस्टर सूची बनाते हैं:

 cat << EOF | kubectl create -f - apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: cluster-read-all rules: - apiGroups: - "" - apps - autoscaling - batch - extensions - policy - rbac.authorization.k8s.io - storage.k8s.io resources: - componentstatuses - configmaps - cronjobs - daemonsets - deployments - events - endpoints - horizontalpodautoscalers - ingress - ingresses - jobs - limitranges - namespaces - nodes - pods - pods/log - pods/exec - persistentvolumes - persistentvolumeclaims - resourcequotas - replicasets - replicationcontrollers - serviceaccounts - services - statefulsets - storageclasses - clusterroles - roles verbs: - get - watch - list - nonResourceURLs: ["*"] verbs: - get - watch - list - apiGroups: [""] resources: ["pods/exec"] verbs: ["create"] EOF

ClusterRoleBinding के लिए एक कॉन्फ़िगरेशन बनाएँ:

 cat <<EOF | kubectl create -f - apiVersion: rbac.authorization.k8s.io/v1beta1 kind: ClusterRoleBinding metadata: name: dex-cluster-auth namespace: kube-system roleRef: apiGroup: rbac.authorization.k8s.io kind: ClusterRole name: cluster-read-all subjects: kind: Group name: "super-org:team-red" EOF

अब हम परीक्षण के लिए तैयार हैं।

परीक्षण

हम लॉगिन पृष्ठ ( https://login.k8s.example.com ) पर जाते हैं और GitHub खाते का उपयोग करके लॉग इन करते हैं:

लॉगिन पेज

लॉगिन पृष्ठ GitHub पर पुनर्निर्देशित किया गया

उपयोग के लिए उत्पन्न निर्देशों का पालन करें

वेब पेज से कॉपी-पेस्ट करने के बाद, हम अपने क्लस्टर के संसाधनों का प्रबंधन करने के लिए kubectl का उपयोग कर सकते हैं:

 kubectl get po NAME READY STATUS RESTARTS AGE mypod 1/1 Running 0 3d kubectl delete po mypod Error from server (Forbidden): pods "mypod" is forbidden: User "amet@example.com" cannot delete pods in the namespace "default"

और यह काम करता है, हमारे संगठन के सभी गिटहब उपयोगकर्ता संसाधनों को देख सकते हैं और फली में प्रवेश कर सकते हैं, लेकिन उन्हें बदलने का अधिकार नहीं है।