👩🏽‍🏭 🖐🏻 💧 हम Keycloak के साथ Kubernetes के लिए ActiveDirectory प्राधिकरण को तेज़ करते हैं 👁‍🗨 👉🏽 🐇

यह लेख मौजूदा एक का विस्तार करने के लिए लिखा गया था , लेकिन Microsoft ActiveDirectory के साथ बंडल की विशेषताओं के बारे में बात करता है, साथ ही साथ इसे पूरक भी करता है।

इस लेख में मैं आपको बताऊंगा कि कैसे स्थापित करें और कॉन्फ़िगर करें:

कीक्लोक एक ओपन सोर्स प्रोजेक्ट है। जो अनुप्रयोगों के लिए एक एकल प्रवेश बिंदु प्रदान करता है। यह कई प्रोटोकॉल के साथ काम करता है, जिसमें LDAP और OpenID शामिल हैं जो हमारी रुचि रखते हैं।
Keycloak द्वारपाल - रिवर्स प्रॉक्सी एप्लिकेशन जो आपको Keycloak के माध्यम से प्राधिकरण को एकीकृत करने की अनुमति देता है।
गैंगवे - वह एप्लिकेशन जो कुबेटेल के लिए एक कॉन्फिगरेशन उत्पन्न करता है जिसके साथ आप लॉग इन कर सकते हैं और ओपनआईडी पर कुबेरनेट्स एपीआई से जुड़ सकते हैं।

कुबेरनेट्स में अधिकार कैसे काम करते हैं।

हम RBAC का उपयोग करके उपयोगकर्ता / समूह अधिकारों का प्रबंधन कर सकते हैं, इस बारे में बहुत सारे लेख पहले ही बन चुके हैं, मैं इस पर विस्तार से ध्यान नहीं दूंगा। समस्या यह है कि आप उपयोगकर्ता अधिकारों को प्रतिबंधित करने के लिए RBAC का उपयोग कर सकते हैं, लेकिन Kubernetes उपयोगकर्ताओं के बारे में कुछ भी नहीं जानता है। यह पता चला है कि आपको कुबेरनेट्स में एक उपयोगकर्ता वितरण तंत्र की आवश्यकता है। ऐसा करने के लिए, हम कुबर्नटेस के लिए एक ओपनआईडी प्रदाता जोड़ देंगे, जो कहेगा कि ऐसा उपयोगकर्ता वास्तव में मौजूद है, और कुबेरनेट स्वयं इसे अधिकार देंगे।

प्रशिक्षण

आपको कुबेरनेट क्लस्टर या मिनिक्यूब की आवश्यकता होगी
सक्रिय निर्देशिका
डोमेन:
keycloak.example.org
kubernetes-dashboard.example.org
gangway.example.org
डोमेन या स्व-हस्ताक्षरित प्रमाण पत्र के लिए प्रमाण पत्र

मैं स्व-हस्ताक्षरित प्रमाण पत्र बनाने के तरीके पर ध्यान नहीं दूंगा, आपको 2 प्रमाणपत्र बनाने की आवश्यकता है, यह * .example.org डोमेन के लिए रूट (प्रमाणपत्र प्राधिकरण) और वाइल्डकार्ड क्लाइंट है।

आपके द्वारा प्रमाण पत्र प्राप्त / लिखने के बाद, ग्राहक को कुबेरनेट्स में जोड़ा जाना चाहिए। इसके लिए एक रहस्य बनाएं:

kubectl create secret tls tls-keycloak --cert=example.org.crt --key=example.org.pem

आगे हम इसका इस्तेमाल अपने Ingress कंट्रोलर के लिए करेंगे

Keycloak स्थापित करें

मैंने तय किया कि इसके लिए तैयार समाधानों का उपयोग करने का सबसे आसान तरीका है, अर्थात् पतवार चार्ट।

रिपॉजिटरी स्थापित करें और इसे अपडेट करें:

helm repo add codecentric https://codecentric.imtqy.com/helm-charts
helm repo update

निम्नलिखित सामग्री के साथ keycloak.yml फ़ाइल बनाएँ:

keycloak.yml

keycloak:
  #  
  username: "test_admin"
  #    
  password: "admin"
  #         Keycloak    web .   
       ,   .
  extraArgs: "-Dkeycloak.profile.feature.script=enabled -Dkeycloak.profile.feature.upload_scripts=enabled" 
  #  ingress,           secrets
  ingress:
    enabled: true 
    path: /
    annotations:
      kubernetes.io/ingress.class: nginx
      ingress.kubernetes.io/affinity: cookie
    hosts:
      - keycloak.example.org
    tls:
    - hosts:
        - keycloak.example.org
      secretName: tls-keycloak
  # Keycloak      ,      Postgresql   Kuberntes,      !
  persistence:
    deployPostgres: true
    dbVendor: postgres

postgresql:
  postgresUser: keycloak
  postgresPassword: ""
  postgresDatabase: keycloak
  persistence:
    enabled: true

फेडरेशन सेटअप

इसके बाद, वेब इंटरफेस keycloak.example.org पर जाएं

। बाएं कोने में, दायरे जोड़ें पर क्लिक करें

चाभी	मूल्य
नाम	Kubernetes
प्रदर्शित होने वाला नाम	Kubernetes

उपयोगकर्ता ईमेल पुष्टि का सत्यापन अक्षम करें:
क्लाइंट स्कोप्स -> ईमेल -> मैपर्स -> ईमेल सत्यापित (हटाएं) हम

उपयोगकर्ताओं को ActiveDirectory से आयात करने के लिए महासंघ को कॉन्फ़िगर करते हैं, मैं नीचे स्क्रीनशॉट छोड़ दूंगा, मुझे लगता है कि यह अधिक स्पष्ट होगा।

उपयोगकर्ता महासंघ -> प्रदाता जोड़ें ... -> ldap

फेडरेशन सेटअप

यदि सब ठीक है, तो सभी उपयोगकर्ताओं को सिंक्रोनाइज़ करने पर क्लिक करने के बाद, आपको उपयोगकर्ताओं के सफल आयात के बारे में एक संदेश प्राप्त होगा।

इसके बाद, हमें अपने समूह

उपयोगकर्ता फेडरेशन -> ldap_localhost -> मैपर्स -> क्रिएट करने की आवश्यकता है

मैपर क्रिएशन

क्लाइंट सेटअप

एक क्लाइंट बनाना आवश्यक है, केक्लोक के संदर्भ में एक ऐसा एप्लिकेशन है जो उसके द्वारा अधिकृत होगा। मैं लाल रंग के स्क्रीनशॉट में महत्वपूर्ण बिंदुओं को उजागर करूंगा।

ग्राहक -> बनाएँ

क्लाइंट सेटअप

समूहों के लिए एक स्कूप बनाएं:

क्लाइंट स्कोप -> बनाएं

स्कूप बनाना

और उनके लिए मैपर कॉन्फ़िगर करें: क्लाइंट स्कोप -> समूह -> मैपर

-> बनाएँ

मैपर

हमारे समूहों की मैपिंग को डिफॉल्ट क्लाइंट

स्कोप्स में जोड़ें: ग्राहक -> कुबेरनेट्स -> क्लाइंट स्कोप्स -> डिफॉल्ट क्लाइंट स्कोप उपलब्ध क्लाइंट स्कोप्स में समूहों का
चयन करें , क्लिक करें चयनित जोड़ें हमें एक गुप्त मिलता है (और इसे थ्रेड पर लिखें) हम प्राधिकरण के लिए उपयोग करेंगे। Keycloak में: ग्राहक -> kubernetes -> क्रेडेंशियल -> गुप्त यह सेटअप का अंत है , लेकिन मुझे एक त्रुटि मिली जब एक सफल प्राधिकरण के बाद मुझे एक त्रुटि मिली 403. बग रिपोर्ट । फिक्स: क्लाइंट स्कोप्स -> भूमिकाएँ -> मैपर -> बनाएँ

मैपर

स्क्रिप्ट कोड

// add current client-id to token audience
token.addAudience(token.getIssuedFor());

// return token issuer as dummy result assigned to iss again
token.getIssuer();

कुबेरनेट्स कॉन्फ़िगर करें

हमें यह इंगित करने की आवश्यकता है कि साइट से हमारा मूल प्रमाण पत्र कहां निहित है, और कहां OIDC प्रदाता स्थित है।
ऐसा करने के लिए, फ़ाइल /etc/kubernetes/manifests/kube-apiserver.yaml संपादित करें

Kube-apiserver.yaml


...
spec:
  containers:
  - command:
    - kube-apiserver
...
    - --oidc-ca-file=/var/lib/minikube/certs/My_Root.crt
    - --oidc-client-id=kubernetes
    - --oidc-groups-claim=groups
    - --oidc-issuer-url=https://keycloak.example.org/auth/realms/kubernetes
    - --oidc-username-claim=email
...

क्लस्टर में अद्यतन kubeadm config:

kubeadm config

kubectl edit -n kube-system configmaps kubeadm-config


...
data:
  ClusterConfiguration: |
    apiServer:
      extraArgs:
        oidc-ca-file: /var/lib/minikube/certs/My_Root.crt
        oidc-client-id: kubernetes
        oidc-groups-claim: groups
        oidc-issuer-url: https://keycloak.example.org/auth/realms/kubernetes
        oidc-username-claim: email
...

कॉन्ट्रैक्ट को प्रॉक्सी करें

आप अपने वेब एप्लिकेशन को सुरक्षित रखने के लिए की-क्लॉक गेटकीपर का उपयोग कर सकते हैं। इस तथ्य के अलावा कि यह रिवर्स प्रॉक्सी पेज दिखाने से पहले उपयोगकर्ता को अधिकृत करेगा, इसलिए यह हेडर में आपके बारे में अंतिम एप्लिकेशन को जानकारी भी प्रसारित करेगा। इस प्रकार, यदि आपका एप्लिकेशन OpenID का समर्थन करता है, तो उपयोगकर्ता तुरंत लॉग इन करता है। आइए कुबेरनेट्स डैशबोर्ड के उदाहरण को देखें

कुबेरनेट्स डैशबोर्ड स्थापित करें


helm install stable/kubernetes-dashboard --name dashboard -f values_dashboard.yaml

values_dashboard.yaml

enableInsecureLogin: true
service:
  externalPort: 80
rbac:
  clusterAdminRole: true
  create: true
serviceAccount:
  create: true
  name: 'dashboard-test'

अनुमतियाँ सेट करना:

एक ClusterRoleBinding बनाएँ जो DataOPS समूह में उपयोगकर्ताओं के लिए क्लस्टर व्यवस्थापक अधिकार (मानक ClusterRole क्लस्टर-व्यवस्थापक) देगा।


kubectl apply -f rbac.yaml

rbac.yaml


apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: dataops_group
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: DataOPS

की-क्लॉक गेटकीपर स्थापित करें:


helm repo add gabibbo97 https://gabibbo97.imtqy.com/charts/
helm repo update
helm install gabibbo97/keycloak-gatekeeper --version 2.1.0 --name keycloak-gatekeeper -f values_proxy.yaml

values_proxy.yaml



#  ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
  path: /
  hosts:
    - kubernetes-dashboard.example.org
  tls:
   - secretName: tls-keycloak
     hosts:
       - kubernetes-dashboard.example.org

#       OIDC 
discoveryURL: "https://keycloak.example.org/auth/realms/kubernetes"
#       Keycloak
ClientID: "kubernetes"
# Secret    
ClientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
#      .  <SCHEMA>://<SERVICE_NAME>.><NAMESAPCE>.<CLUSTER_NAME>
upstreamURL: "http://dashboard-kubernetes-dashboard.default.svc.cluster.local"
#   ,    
skipOpenidProviderTlsVerify: true
#   ,    path     DataOPS
rules:
  - "uri=/*|groups=DataOPS"

उसके बाद, जब आप kubernetes-dashboard.example.org पर जाने का प्रयास करते हैं, तो आपको Keycloak पर पुनर्निर्देशित किया जाएगा और यदि प्राधिकरण सफल होता है, तो हम पहले से ही डैशबोर्ड में लॉग इन हो जाएंगे।

गैंगवे की स्थापना

सुविधा के लिए, आप गैंगवे को जोड़ सकते हैं जो कुबेटेल के लिए एक विन्यास फाइल उत्पन्न करेगा, जिसके साथ हम पहले से ही अपने उपयोगकर्ता के तहत कुबेरनेट में मिल जाएंगे।


helm install --name gangway stable/gangway -f values_gangway.yaml

values_gangway.yaml


gangway:
  #   
  clusterName: "my-k8s"
  #    OIDC 
  authorizeURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/auth"
  tokenURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/token"
  audience: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/userinfo"
  #     groups   
  scopes: ["openid", "profile", "email", "offline_access"]
  redirectURL: "https://gangway.example.org/callback"
  #  
  clientID: "kubernetes"
  # 
  clientSecret: "c6ec03b8-d0b8-4cb6-97a0-03becba1d727"
  #    ,       <b>Frist name</b> <b>Second name</b>,   "sub"  
  usernameClaim: "sub"
  #    IP  API 
  apiServerURL: "https://192.168.99.111:8443"

#  Ingress
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/proxy-buffer-size: "64k"
  path: /
  hosts:
  - gangway.example.org
  tls:
  - secretName: tls-keycloak
    hosts:
      - gangway.example.org

#    ,  (  )  .
trustedCACert: |-
 -----BEGIN CERTIFICATE-----
 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
 -----END CERTIFICATE-----

यह कुछ इस तरह दिखता है। आपको कॉन्फ़िगर फ़ाइल को तुरंत डाउनलोड करने और इसे कमांड के सेट का उपयोग करने की अनुमति देता है:

हम Keycloak के साथ Kubernetes के लिए ActiveDirectory प्राधिकरण को तेज़ करते हैं