Get best of the week

使用Dex在Kubernetes中进行身份验证：固定LDAP

今天，我将详细介绍结合使用Dex和LDAP在Kubernetes中配置身份验证的详细信息，并展示如何将静态用户添加到Dex。 

在本文中，我不会详细介绍Dex的基本原理，但马上我将继续安装和配置LDAP。您可以在本文中熟悉Dex的原理。

我们做什么：

  1. 安装OpenLDAP并在其上配置STARTTLS支持。 
  2. 我们描述了我们组织的LDAP目录的结构。
  3. 在kube-api服务器上启用OIDC（OpenID Connect）支持。
  4. 获取Dex将使用的域的SAN证书。
  5. 安装Dex和Dex-auth，我们在其中描述LDAP目录和静态用户。 
  6. 我们将生成用户的kubeconfig以使用集群。
  7. 为群集中的组和用户设置RBAC身份验证。

所以走吧



我将以一个带有Helm版本3和Ingress以及三个域名的现成Kubernetes集群的示例为您展示。

安装和配置OpenLDAP服务器


我们将使用OpenLDAP作为ubuntu 18.04发行版上的LDAP。 
我们的服务器名称：openldap.dtln.cloud。 

  1. 我们已连接到服务器，并开始安装OpenLDAP。在安装过程中，将提示我们设置密码：

    sudo apt update 
sudo apt install slapd ldap-utils

  2. 为我们的域重新配置OpenLDAP：

    sudo dpkg-reconfigure slapd 

  3. 选择否：


  4. 输入域名：


  5. 输入组织名称：


  6. 重复输入密码：


  7. 我们包括对STARTTLS的支持。我们放入必要的包装：

    sudo apt install gnutls-bin ssl-cert

  8. CA-:

    sudo sh -c "certtool --generate-privkey > /etc/ssl/private/cakey.pem"

  9. /etc/ssl/ca.info:

    cn = DTLN Company
ca
cert_signing_key

  10. CA-a , :

    sudo certtool --generate-self-signed --load-privkey /etc/ssl/private/cakey.pem --template /etc/ssl/ca.info --outfile /etc/ssl/certs/cacert.pem
sudo certtool --generate-privkey --bits 1024 --outfile /etc/ssl/private/openldap_key.pem

  11. /etc/ssl/openldap.info:

    organization = DTLN Company
cn = openldap.dtln.cloud
tls_www_server
encryption_key
signing_key
expiration_days = 3650

  12. :

    sudo certtool --generate-certificate --load-privkey /etc/ssl/private/openldap_key.pem --load-ca-certificate /etc/ssl/certs/cacert.pem --load-ca-privkey /etc/ssl/private/cakey.pem --template /etc/ssl/openldap.info --outfile /etc/ssl/certs/openldap.pem

  13. OpenLDAP STARTTLS. certinfo.dif:

    dn: cn=config
add: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/ssl/certs/cacert.pem
-
add: olcTLSCertificateFile
olcTLSCertificateFile: /etc/ssl/certs/openldap.pem
-
add: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/ssl/private/openldap_key.pem

  14. :

    sudo ldapmodify -Y EXTERNAL -H ldapi:/// -f certinfo.dif

  15. :

    sudo chgrp openldap /etc/ssl/private/openldap_key.pem
sudo chmod 0640 /etc/ssl/private/openldap_key.pem
sudo gpasswd -a openldap ssl-cert
sudo systemctl restart slapd.service

  16. , /etc/ldap/ldap.conf :

    TLS_CACERT /etc/ssl/certs/cacert.pem

  17. STARTTLS:

    ldapwhoami -H ldap://openldap.dtln.cloud -x -ZZ

    :



    :


LDAP-


  1. , x , Kubernetes. content.ldif:

    dn: ou=People,dc=openldap,dc=dtln,dc=cloud
objectClass: organizationalUnit
ou: People
dn: cn=jane,ou=People,dc=openldap,dc=dtln,dc=cloud
objectClass: person
objectClass: inetOrgPerson
sn: doe
cn: jane
mail: janedoe@openldap.dtln.cloud
userpassword: foo_password

dn: cn=john,ou=People,dc=openldap,dc=dtln,dc=cloud
objectClass: person
objectClass: inetOrgPerson
sn: doe
cn: john
mail: johndoe@openldap.dtln.cloud
userpassword: bar_password

# Group definitions.

dn: ou=Groups,dc=openldap,dc=dtln,dc=cloud
objectClass: organizationalUnit
ou: Groups

dn: cn=admins,ou=Groups,dc=openldap,dc=dtln,dc=cloud
objectClass: groupOfNames
cn: admins
member: cn=jane,ou=People,dc=openldap,dc=dtln,dc=cloud

dn: cn=developers,ou=Groups,dc=openldap,dc=dtln,dc=cloud
objectClass: groupOfNames
cn: developers
member: cn=jane,ou=People,dc=openldap,dc=dtln,dc=cloud
member: cn=john,ou=People,dc=openldap,dc=dtln,dc=cloud

  2. 使用以下命令扩展描述的结构：

    ldapadd -x -D cn=admin,dc=openldap,dc=dtln,dc=cloud -W -f content.ldif

  3. 确保我们的用户在目录中：

    ldapwhoami -vvv -h openldap.dtln.cloud -p 389 -D cn=john,ou=People,dc=openldap,dc=dtln,dc=cloud -x -w bar_password -ZZ
ldapwhoami -vvv -h openldap.dtln.cloud -p 389 -D cn=jane,ou=People,dc=openldap,dc=dtln,dc=cloud -x -w foo_password -ZZ

我们连接对OpenID Connect的支持


让我们继续进行Kubernetes集群设置。 

我们使用域dex.ash.dtln.cloud访问Dex API服务器，并使用login.ash.dtln.cloud访问集群。

我们部署的集群没有kubeadm或kops安装程序，因此OIDC配置可以立即添加到systemd单元中。在其他情况下，最好使用这些实用程序来完成配置。

  1. 我们编辑单元/etc/systemd/system/kube-apiserver.service并将启动参数添加到ExecStart部分：

    --oidc-client-id=dex-k8s-authenticator \
--oidc-groups-claim=groups \
--oidc-username-claim=email \
--oidc-issuer-url=https://dex.ash.dtln.cloud/ \
  2. 我们重新启动我们的API，检查它们是否已增加：

    sudo systemctl daemon-reload
sudo systemctl restart kube-apiserver
sudo systemctl status kube-apiserver

创建一个多域证书


现在转到Kubernetes集群。 

  1. 我们使用Helm安装cert-manager： 

    helm repo add jetstack https://charts.jetstack.io
helm repo update
helm install cert-manager --namespace kube-system jetstack/cert-manager --version v0.13.0

  2. 我们在cert.yml中描述了对我们的域的SAN证书的请求：

    ---
apiVersion: cert-manager.io/v1alpha2
kind: ClusterIssuer
metadata:
  name: letsencrypt-dex
spec:
  acme:
    email: kubernetes@dataline.ru
    server: https://acme-v02.api.letsencrypt.org/directory
    privateKeySecretRef:
      name: letsencrypt-key-dex
    solvers:
    - http01:
        ingress:
          class: nginx
---
apiVersion: cert-manager.io/v1alpha2
kind: Certificate
metadata:
  name: auth-dex
  namespace: kube-system
spec:
  secretName: cert-auth-dex
  issuerRef:
    kind: ClusterIssuer
    name: letsencrypt-dex
  commonName: dex.ash.dtln.cloud
  dnsNames:
  - dex.ash.dtln.cloud
  - login.ash.dtln.cloud

  3. 我们执行命令：

    kubectl apply -f cert.yaml

  4. 现在，使用以下命令查看证书请求的状态： 

    kubectl get certificates --all-namespaces
kubectl get challenges --all-namespaces

  5. 我们正在等待确认，该过程可能需要一些时间：



安装敏捷


对于Dex，我们需要主服务器中的ca.crt和ca.key。通常它们位于/ etc / kubernetes / pki /目录中，
我们还需要使用生成的带有OpenLDAP的早期CA证书，该证书位于/etc/ssl/certs/cacert.pem路径中

  1. 下载dex-authenticator源并转到目录：

    git clone git@github.com:mintel/dex-k8s-authenticator.git
cd dex-k8s-authenticator/

  2. 我们为Dex-auth准备好配置，粘贴先前复制的ca.crt的内容，注意缩进很重要：

    ---
global:
  deployEnv: prod
dexK8sAuthenticator:
  clusters:
    - name: 'ash.dtln.cloud'
      short_description: "k8s cluster"
      description: "Kubernetes cluster"
      issuer: https://dex.ash.dtln.cloud/
      k8s_master_uri: https://kubernetes.dtln.cloud:6443 # url or ip
      client_id: dex-k8s-authenticator
      static_context_name: false
      client_secret: acDEgDEcIg7RX0U7A9hlW2pGGraHDuMAZ4qFEKg2fUHHxr8
      redirect_uri: https://login.ash.dtln.cloud/callback
      k8s_ca_pem: |
        -----BEGIN CERTIFICATE-----
        #   ca.crt
        -----END CERTIFICATE-----
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    kubernetes.io/tls-acme: "true"
  path: /
  hosts:
    - login.ash.dtln.cloud
  tls:
    - secretName: cert-auth-dex
      hosts:
        - login.ash.dtln.cloud

  3. 我们将cacert.pem的内容转换为base64，以将其添加到配置中：

    cacert.pem | base64

  4. Dex, . staticPasswords bcrypt:

    ---
global:
  deployEnv: prod
tls:
  certificate: |-
    -----BEGIN CERTIFICATE-----
    # ca.crt
    -----END CERTIFICATE-----
  key: |-
    -----BEGIN RSA PRIVATE KEY-----
    # ca.key
    -----END RSA PRIVATE KEY-----
ingress:
  enabled: true
  annotations:
    kubernetes.io/ingress.class: nginx
    kubernetes.io/tls-acme: "true"
  path: /
  hosts:
    - dex.ash.dtln.cloud
  tls:
    - secretName: cert-auth-dex
      hosts:
        - dex.ash.dtln.cloud
serviceAccount:
  create: true
  name: dex-auth-sa
config:
  issuer: https://dex.ash.dtln.cloud/
  storage:
    type: kubernetes
    config:
      inCluster: true
  web:
    http: 0.0.0.0:5556
  frontend:
    theme: "coreos"
    issuer: "kube-dtln"
    issuerUrl: "https://login.ash.dtln.cloud"
  expiry:
    signingKeys: "6h"
    idTokens: "24h"
  logger:
    level: debug
    format: json
  oauth2:
    responseTypes: ["code", "token", "id_token"]
    skipApprovalScreen: true

  connectors:
  - type: ldap
    id: ldap
    name: LDAP
    config:
      insecureNoSSL: false
      insecureSkipVerify: false
      startTLS: true #   
      rootCAData: |-
        # cacert.pem  base64 
        # 
     
      host: openldap.dtln.cloud:389
      usernamePrompt: Email Address
      userSearch:
        baseDN: ou=People,dc=openldap,dc=dtln,dc=cloud
        filter: "(objectClass=person)"
        username: mail
        idAttr: DN
        emailAttr: mail
        nameAttr: cn
      groupSearch:
        baseDN: ou=Groups,dc=openldap,dc=dtln,dc=cloud
        filter: "(objectClass=groupOfNames)"

        userMatchers:
        - userAttr: DN
          groupAttr: member

        nameAttr: cn

  staticClients:
  - id: dex-k8s-authenticator
    name: Kubernetes Dev Cluster
    secret: 'acDEgDEcIg7RX0U7A9hlW2pGGraHDuMAZ4qFEKg2fUHHxr8'
    redirectURIs:
      - https://login.ash.dtln.cloud/callback

  enablePasswordDB: True

  staticPasswords:
    #       base64
  - email: "admin@dtln.cloud"
    # bcrypt hash of the string "password"
    hash: "$2a$10$2b2cU8CPhOTaGrs1HRQuAueS7JTT5ZHsHSzYiFPm1leZck7Mc8T4W"
    username: "admin"
    userID: "08a8684b-db88-4b73-90a9-3cd1661f5466"

  5. dex dex-auth- :

    helm install dex --namespace kube-system --values dex.yaml charts/dex
helm install dex-auth --namespace kube-system --values dex-auth.yml charts/dex-k8s-authenticator


kubeconfig


  1. , pod’. login.ash.dtln.cloud. , mail- . 

    static- mail:


  2.  Dex-auth. C kubeconfig-. :


  3. 现在尝试访问群集并得到一个错误。没错，我们的用户没有权限，因此让我们继续设置RBAC。



我们配置RBAC授权


  1. 例如，我们将静态用户分配给cluster-admin系统角色，将开发人员组的用户分配给视图角色，该角色仅允许查看资源。然后，crb.yml文件的内容应如下所示：

    ---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: dex-admin
  namespace: kube-system
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- kind: User
  name: "admin@dtln.cloud"

---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: dex-developers
  namespace: kube-system
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: view
subjects:
- kind: Group
  name: "developers"

  2. 切换到主上下文，并将创建的yaml文件应用于集群：

    kubectl config set-context default
kubectl apply -f crb.yml

  3. 我们查看可用的上下文并切换回我们的用户：

    kubectl config get-contexts
kubectl config set-context johndoe-ash.dtln.cloud

这样就完成了与OpenLDAP结合的Dex的设置。

最后的几个技巧：

  • 如果出现问题，首先要检查的是yaml文件的格式，并注意缩进。 
  • 地址中的斜线必须与示例匹配。 
  • pod’ Dex, Dex-auth, kube-api .

More articles:


All Articles