हम एलडीएपी प्राधिकरण को कुबेरनेट्स के लिए उपवास करते हैं

Kubernetes को अपने LDAP सर्वर से कनेक्ट करने के लिए Kubernetes का उपयोग करने का एक संक्षिप्त ट्यूटोरियल और Keycloak का उपयोग करके उपयोगकर्ताओं और समूहों के आयात को कॉन्फ़िगर करें। यह आपको अपने उपयोगकर्ताओं के लिए RBAC को कॉन्फ़िगर करने और Kubernetes डैशबोर्ड और स्वयं को अधिकृत नहीं कर सकने वाले अन्य अनुप्रयोगों की सुरक्षा के लिए प्रॉक्सी-प्रॉक्सी का उपयोग करने की अनुमति देगा।

Keycloak स्थापित करें

मान लीजिए कि आपके पास पहले से ही LDAP सर्वर है। यह सक्रिय निर्देशिका, FreeIPA, OpenLDAP या कुछ और हो सकता है। यदि आपके पास LDAP सर्वर नहीं है, तो सिद्धांत रूप में आप सीधे Keycloak इंटरफ़ेस में उपयोगकर्ता बना सकते हैं, या सार्वजनिक oidc प्रदाताओं (Google, Github, Gitlab) का उपयोग कर सकते हैं, परिणाम लगभग समान होगा।

सबसे पहले, हम खुद कीक्लोक स्थापित करेंगे, स्थापना को अलग से या तुरंत एक कुबेरनेट समूह में किया जा सकता है, एक नियम के रूप में, यदि आपके पास कई कुबेरनेट क्लस्टर हैं, तो इसे अलग से स्थापित करना आसान होगा। दूसरी ओर, आप हमेशा आधिकारिक हेलम चार्ट का उपयोग कर सकते हैं और इसे सीधे अपने क्लस्टर में स्थापित कर सकते हैं।

Keycloak डेटा स्टोर करने के लिए, आपको एक डेटाबेस चाहिए। डिफ़ॉल्ट रूप से, h2 उपयोग किया जाता है (सभी डेटा स्थानीय रूप से संग्रहीत किया जाता है), लेकिन postgres , mariadb या mariadb का उपयोग करना भी संभव है।
यदि आप अभी भी Keycloak को अलग से स्थापित करने का निर्णय लेते हैं, तो आपको आधिकारिक दस्तावेज में अधिक विस्तृत निर्देश मिलेंगे।

फेडरेशन सेटअप

सबसे पहले, एक नया क्षेत्र बनाएँ। दायरे हमारे आवेदन का स्थान है। प्रत्येक एप्लिकेशन का विभिन्न उपयोगकर्ताओं और प्राधिकरण सेटिंग्स के साथ अपना स्वयं का क्षेत्र हो सकता है। मास्टर दायरे का उपयोग कीलकलोक द्वारा ही किया जाता है और इसे किसी और चीज के लिए उपयोग करना सही नहीं है।

Add दायरे पर क्लिक करें

डिफ़ॉल्ट रूप से कुबेरनेट्स जांचता है कि उपयोगकर्ता के पास ईमेल है या नहीं। चूंकि हम अपने स्वयं के LDAP सर्वर का उपयोग करते हैं, तो यह जाँच लगभग हमेशा false । आइए कुबेरनेट्स में इस पैरामीटर के प्रतिनिधित्व को बंद करें:

ग्राहक स्कोप -> ईमेल -> मैपर -> ईमेल सत्यापित (हटाएं)

अब महासंघ को कॉन्फ़िगर करें, इसके लिए हम यहां जाएंगे:

उपयोगकर्ता महासंघ -> प्रदाता जोड़ें ... -> ldap

यहाँ FreeIPA के लिए एक उदाहरण सेटअप है:

keycloak-svc उपयोगकर्ता को हमारे LDAP सर्वर पर पहले से बनाया जाना चाहिए।

सक्रिय निर्देशिका के मामले में, बस विक्रेता का चयन करें : सक्रिय निर्देशिका और आवश्यक सेटिंग्स स्वचालित रूप से फ़ॉर्म में पॉपुलेट हो जाती हैं।

सहेजें पर क्लिक करें

अब चलते हैं:

उपयोगकर्ता फेडरेशन -> freeipa.example.org -> मैपर -> पहला नाम

अब ग्रुप मैपिंग सक्षम करें:

उपयोगकर्ता फेडरेशन -> freeipa.example.org -> मैपर -> बनाएँ

यह महासंघ के विन्यास को पूरा करता है, चलो ग्राहक स्थापित करने के लिए आगे बढ़ते हैं।

क्लाइंट सेटअप

एक नया क्लाइंट (एक ऐसा एप्लिकेशन बनाएं जो उपयोगकर्ताओं को Keycloak से प्राप्त होगा)। हम पास:

ग्राहक -> बनाएँ

समूहों के लिए भी गुंजाइश बनाएँ:

ग्राहक स्कोप -> बनाएँ

और उनके लिए मैपर कॉन्फ़िगर करें:

ग्राहक स्कोप -> समूह -> मैपर -> बनाएँ

अब हमें अपने ग्राहक क्षेत्र में मानचित्रण समूह को सक्षम करने की आवश्यकता है:

ग्राहक -> कुबेरनेट्स -> क्लाइंट स्कोप्स -> डिफॉल्ट क्लाइंट स्कोप्स

उपलब्ध ग्राहक स्कोप में समूहों का चयन करें, चयनित जोड़ें पर क्लिक करें

अब हमारे एप्लिकेशन के प्रमाणीकरण को कॉन्फ़िगर करें, यहां जाएं:

ग्राहक -> कुबेरनेट्स

सहेजें पर क्लिक करें और यह क्लाइंट सेटअप को पूरा करता है, अब टैब पर

ग्राहक -> कुबेरनेट्स -> साख

आप गुप्त प्राप्त कर सकते हैं जिसका उपयोग हम भविष्य में करेंगे।

कुबेरनेट्स कॉन्फ़िगर करें

OIDC प्रमाणीकरण के लिए Kubernetes को कॉन्फ़िगर करना काफी तुच्छ है और बहुत जटिल नहीं है। आपको बस अपने /etc/kubernetes/pki/oidc-ca.pem सर्वर का CA प्रमाणपत्र /etc/kubernetes/pki/oidc-ca.pem में /etc/kubernetes/pki/oidc-ca.pem और क्यूब-अपीज़र के लिए आवश्यक विकल्प जोड़ना है।
ऐसा करने के लिए, अपने सभी विज़ार्ड्स पर /etc/kubernetes/manifests/kube-apiserver.yaml अपडेट करें:

 ... spec: containers: - command: - kube-apiserver ... - --oidc-ca-file=/etc/kubernetes/pki/oidc-ca.pem - --oidc-client-id=kubernetes - --oidc-groups-claim=groups - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes - --oidc-username-claim=email ... 

और क्लस्टर में kubeadm कॉन्फिगर को भी अपडेट करें, ताकि अपडेट करते समय इन सेटिंग्स को न खोएं:

 kubectl edit -n kube-system configmaps kubeadm-config 

 ... data: ClusterConfiguration: | apiServer: extraArgs: oidc-ca-file: /etc/kubernetes/pki/oidc-ca.pem oidc-client-id: kubernetes oidc-groups-claim: groups oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes oidc-username-claim: email ... 

यह कुबेरनेट सेटअप पूरा करता है। आप अपने कुबेरनेट समूहों में सभी चरणों में इन चरणों को दोहरा सकते हैं।

प्रारंभिक प्राधिकरण

इन चरणों के बाद, आपके पास पहले से ही कॉन्फ़िगर OIDC प्रमाणीकरण के साथ कुबेरनेट क्लस्टर होगा। एकमात्र बिंदु यह है कि आपके उपयोगकर्ताओं के पास अभी तक क्लाइंट के साथ-साथ उनके स्वयं के कुबेकॉन्फ़िग भी कॉन्फ़िगर नहीं हैं। इस समस्या को हल करने के लिए, आपको सफल प्राधिकरण के बाद उपयोगकर्ताओं को kubeconfig के स्वत: जारी करने की आवश्यकता है।

ऐसा करने के लिए, आप विशेष वेब एप्लिकेशन का उपयोग कर सकते हैं जो आपको उपयोगकर्ता को प्रमाणित करने की अनुमति देता है और फिर समाप्त किए गए kubeconfig को डाउनलोड करता है। सबसे सुविधाजनक में से एक कुबेरोस है , जो आपको एक विन्यास में सभी कुबेरनेट समूहों का वर्णन करने की अनुमति देता है और आसानी से उनके बीच स्विच करता है।

कुबेरोस को कॉन्फ़िगर करने के लिए, बस कुबेकॉन्फिग के लिए टेम्पलेट का वर्णन करें और निम्नलिखित मापदंडों के साथ चलें:

 kuberos https://keycloak.example.org/auth/realms/kubernetes kubernetes /cfg/secret /cfg/template 

अधिक जानकारी के लिए Github पर उपयोग देखें।

यदि आप उपयोगकर्ता के कंप्यूटर पर सीधे अधिकृत करना चाहते हैं, तो कुबेलोगिन का उपयोग करना संभव है। इस मामले में, उपयोगकर्ता लोकलहोस्ट पर एक प्राधिकरण फॉर्म के साथ एक ब्राउज़र खोलता है।

परिणामस्वरूप kubeconfig को jwt.io पर चेक किया जा सकता है। users[].user.auth-provider.config.id-token के मूल्य को कॉपी करें users[].user.auth-provider.config.id-token को अपने kubeconfig से फ़ॉर्म पर साइट पर फ़ॉर्म करें और तुरंत डिक्रिप्शन प्राप्त करें।

RBAC सेटअप

RBAC सेट करते समय, आप दोनों उपयोगकर्ता नाम (jwt टोकन में name फ़ील्ड) और उपयोगकर्ता समूह (jwt टोकन में groups फ़ील्ड) का उल्लेख कर सकते हैं। यहाँ kubernetes-default-namespace-admins समूह के लिए अनुमतियाँ सेट करने का एक उदाहरण है:

 apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: default-admins namespace: default rules: - apiGroups: - '*' resources: - '*' verbs: - '*' --- apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: kubernetes-default-namespace-admins namespace: default roleRef: apiGroup: rbac.authorization.k8s.io kind: Role name: default-admins subjects: - apiGroup: rbac.authorization.k8s.io kind: Group name: kubernetes-default-namespace-admins 

आरबीएसी के लिए अधिक उदाहरण कुबेरनेट्स आधिकारिक दस्तावेज में पाए जा सकते हैं ।

कॉन्ट्रैक्ट को प्रॉक्सी करें

एक अद्भुत कीक्लॉक-गेटकीपर परियोजना है जो आपको किसी भी एप्लिकेशन को संरक्षित करने की अनुमति देती है, जिससे उपयोगकर्ता को ओआईडीसी सर्वर के साथ प्रमाणित करने की क्षमता मिलती है। मैं दिखाऊंगा कि आप कुबेरनेट्स डैशबोर्ड का उपयोग करके इसे एक उदाहरण के रूप में कैसे कॉन्फ़िगर कर सकते हैं:

 apiVersion: extensions/v1beta1 kind: Deployment metadata: name: kubernetes-dashboard-proxy spec: replicas: 1 template: metadata: labels: app: kubernetes-dashboard-proxy spec: containers: - args: - --listen=0.0.0.0:80 - --discovery-url=https://keycloak.example.org/auth/realms/kubernetes - --client-id=kubernetes - --client-secret=<your-client-secret-here> - --redirection-url=https://kubernetes-dashboard.example.org - --enable-refresh-tokens=true - --encryption-key=ooTh6Chei1eefooyovai5ohwienuquoh - --upstream-url=https://kubernetes-dashboard.kube-system - --resources=uri=/* image: keycloak/keycloak-gatekeeper name: kubernetes-dashboard-proxy ports: - containerPort: 80 livenessProbe: httpGet: path: /oauth/health port: 80 initialDelaySeconds: 3 timeoutSeconds: 2 readinessProbe: httpGet: path: /oauth/health port: 80 initialDelaySeconds: 3 timeoutSeconds: 2 --- apiVersion: v1 kind: Service metadata: name: kubernetes-dashboard-proxy spec: ports: - port: 80 protocol: TCP targetPort: 80 selector: app: kubernetes-dashboard-proxy type: ClusterIP