关于云计算:KubeSphere-使用-OpenLDAP-进行统一认证完全指南

27次阅读

共计 6729 个字符，预计需要花费 17 分钟才能阅读完成。

作者：申红磊，青云 QingCloud 容器解决方案架构师，开源我的项目爱好者，KubeSphere Member。

在理论应用中，会有一些用户，在不同场景中常常碰到 OpenLDAP 对接问题：

是否对接 LDAP？
对接形式都有什么，有界面吗？
是否按本人要求来对接指定账户，而非全副账户都能拜访？
是否批量导入账户？
默认角色如何绑定？

在这里能够简略操作一下，以便来抛砖引玉，次要思路为：在 KubeSphere 中间接运行一个 LDAP Server，用 ApacheDirectoryStudio 来验证，而后应用 KubeSphere 进行 LDAP 对接验证。

您须要部署一个 K8s 集群，并在集群中装置 KubeSphere。无关详细信息，请参阅在 Linux 上装置和在 Kubernetes 上装置。

这里通过利用为用户提供残缺的业务性能，由一个或多个特定性能的组件组成。来部署 OpenLDAP

创立无状态服务（演示应用）

这里应用的镜像为：bitnami/openldap:latest

docker pull bitnami/openldap:latest
# 参考 the OpenLDAP server instance 能够配置 env 在前面应用
$ docker run --detach --rm --name openldap \
  --network my-network \
  --env LDAP_ADMIN_USERNAME=admin \
  --env LDAP_ADMIN_PASSWORD=adminpassword \
  --env LDAP_USERS=customuser \
  --env LDAP_PASSWORDS=custompassword \
  bitnami/openldap:latest

配置 Resources 的 Request 和 Limit，并应用默认端口：

下面所说的环境变量，能够进行批量援用（KS 很多性能，亮堂简洁又好用）。

内部拜访，这里应用模式为：NodePort。

服务如下，通过 1389 对应的 NodePort 30598 来拜访。

通过 ApacheDirectoryStudio 来间接验证，确认 OpenLDAP server instance 无问题后，再进行 KubeSphere 的对接。首先先下载 Mac 版 ApacheDirectoryStudio。

ApacheDirectoryStudio-2.0.0.v20210717-M17-macosx.cocoa.x86_64.dmg

装置部署后 ApacheDirectoryStudio 如下：

创立 CONNECTIONS：

Connection Name: LDAP4KS-admin

NetWork Parameter
HostName: 192.168.100.2
Port: 30598
Connection timeout(s): 30
Encryption method: no encryption

Authentication：

Authentication Method: Simple authentication
#参考下面时设置的 the OpenLDAP server instance 能够配置 env 在前面应用
Authentication Parameter:
Bind DB or User: cn=admin,dc=example,dc=org
Bind password: adminpassword

在 the OpenLDAP server instance 能够配置 env 在前面应用
–env LDAP_ADMIN_USERNAME=admin \
–env LDAP_ADMIN_PASSWORD=adminpassword \
–env LDAP_USERS=customuser \
–env LDAP_PASSWORDS=custompassword \

Browser Options：

# 这里能够通过 FetchBase DNs 获取 Base DN: dc=example,dc=org

这里有一个小细节，如果对接认证账户不是 admin, 在 ApacheDirectoryStudio 中增加 Entry 时会显示无权限增加，所以 Studio 对接时能够抉择应用 admin , 查问对接时能够应用其它账户。

这里举例展现，userSearchFilter 的后果集，能够依据本人业务需要，将符合条件的用户，显示这个 Ldap Search 中，这里只是在 filter 中增加一个条件为：(uid=customuser001)

dc=example,dc=org  -  Filter: (uid=customuser001）#在 KubeSphere 对接中，这里显示为：userSearchFilter: (uid=customuser001)

上述 Harbor 对接 LDAP 界面性能，这里同样能够实现。

临时没有界面，CRD ClusterConfiguration 中的 ks-installer：

kubectl -n kubesphere-system edit cc ks-installer

内容如下，请参阅官网文档。

spec:
  alerting:
    enabled: true
  auditing:
    enabled: true
  authentication:
    jwtSecret: ""
    maximumClockSkew: 10s
    multipleLogin: true
    oauthOptions:
      accessTokenInactivityTimeout: 30m
      accessTokenMaxAge: 1h
      identityProviders:
      - mappingMethod: auto
        name: LDAP
        provider:
          host: ldap.middleware.svc:1389 #这里我填写的为 KS 集群外部拜访形式
          loginAttribute: uid
          mailAttribute: mail
          managerDN: cn=admin,dc=example,dc=org
          managerPassword: adminpassword
          userSearchBase: dc=example,dc=org
          userSearchFilter: (uid=customuser001) #这里配置 userSearchFilter 可根业务灵便配置
        type: LDAPIdentityProvider

排错或者查看日志状况：

# 在 cc 里配置好，期待 ks-installer 自动更新；或者手动重启 ks-apiserver
#编辑 ks-installer
kubectl edit cc -n kubesphere-system ks-installer
#重启 ks-installer
kubectl rollout restart -n kubesphere-system deploy ks-installer
#重启 ks-apiserver
kubectl rollout restart -n kubesphere-system deploy ks-apiserver
#查看 ks-apiserver 日志
kubectl -n kubesphere-system logs ks-apiserver-xxxxxxxxx

http://192.168.100.2:30880/kapis/config.kubesphere.io/v1alpha2/configs/oauth

验证配置内容曾经正确更新：

 如果 mappingMethod 设置为 lookup，能够运行以下命令并增加标签来进行帐户关联。如果 mappingMethod 是 auto 能够跳过这个局部。kubectl edit user <KubeSphere username>

labels:
  iam.kubesphere.io/identify-provider: <LDAP service name>
  iam.kubesphere.io/origin-uid: <LDAP username>

首先我在 OpenLDAP 中 ldap search 结果显示只有一个用户 customuser001。

那么就用 customuser001 这个用户来尝试登录试试：

# 这个用户是我在 studio 中通过界面增加的一个新用户，customuser001，明码为：custompassword001
customuser001
custompassword001

切换回管理员，查看账户同步内容：

目前来看，默认同步的账户能够登录，然而没有赋予角色，须要再人为调配下或者设置成默认角色进行导入。

这里只提供一下思路，批量脚本可自行编写：

# 能够在 KubeSphere 中提前导入第三方（eg.ldap）账户并关联平台角色、企业空间
cat << EOF | kubectl apply -f -
apiVersion: iam.kubesphere.io/v1alpha2
kind: User
metadata:
  labels:
    iam.kubesphere.io/identify-provider: <IDENTITY_PROVIDER_NAME> #这里指配置名称为：ldap
    iam.kubesphere.io/origin-uid: <UID> #第三方账户的 UID
  name: <USERNAME> # 关联的 KubeSphere 账户名称
spec:
  email: <EMAIL> # 关联的 KubeSphere 账户 email
EOF

#eg. 账户数据如下
identify-provider:ldap
origin-uid:customuser002
email:custompasswordaa@ks.com

cat << EOF | kubectl apply -f -
apiVersion: iam.kubesphere.io/v1alpha2
kind: User
metadata:
  labels:
    iam.kubesphere.io/identify-provider: ldap
    iam.kubesphere.io/origin-uid: customuser002
  name: customuser002
spec:
  email: custompasswordaa@ks.com
EOF

root@i-9z8gtfm9:/home/ubuntu# kubectl get user
NAME            EMAIL                     STATUS
admin           admin@kubesphere.io       Active
customuser      customuser@ks.com         Active
customuser001   customusera@example.com   Active
customuser002   custompasswordaa@ks.com   Active
shl             shl@163.com               Active

这里将用户 customuser001 关联成 platform-regular 角色：

cat << EOF | kubectl apply -f -
apiVersion: iam.kubesphere.io/v1alpha2
kind: GlobalRoleBinding
metadata:
  labels:
    iam.kubesphere.io/user-ref: customuser001
  name: customuser001-platform-regular
roleRef:
  apiGroup: iam.kubesphere.io
  kind: GlobalRole
  name: platform-regular #查问平台已有的角色
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: customuser001
EOF

执行后，查问后果：

root@i-9z8gtfm9:/home/ubuntu# kubectl get globalrolebinding
NAME                             AGE
admin                            139d
anonymous                        139d
authenticated                    139d
customuser001-platform-regular   93s
pre-registration                 139d
shl-platform-regular             139d
root@i-9z8gtfm9:/home/ubuntu# kubectl get globalrolebinding customuser001-platform-regular -oyaml
apiVersion: iam.kubesphere.io/v1alpha2
kind: GlobalRoleBinding
metadata:
  annotations:
    kubectl.kubernetes.io/last-applied-configuration: |
      {"apiVersion":"iam.kubesphere.io/v1alpha2","kind":"GlobalRoleBinding","metadata":{"annotations":{},"labels":{"iam.kubesphere.io/user-ref":"customuser001"},"name":"customuser001-platform-regular"},"roleRef":{"apiGroup":"iam.kubesphere.io","kind":"GlobalRole","name":"platform-regular"},"subjects":[{"apiGroup":"rbac.authorization.k8s.io","kind":"User","name":"customuser001"}]}
  creationTimestamp: "2023-01-03T08:34:23Z"
  generation: 1
  labels:
    iam.kubesphere.io/user-ref: customuser001
    kubefed.io/managed: "false"
  name: customuser001-platform-regular
  resourceVersion: "3436734"
  uid: 9d7a18a6-b4c9-40f8-8186-7029575e5d2d
roleRef:
  apiGroup: iam.kubesphere.io
  kind: GlobalRole
  name: platform-regular
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: customuser001

# 这里留神多集群的企业空间差别
cat << EOF | kubectl apply -f -
apiVersion: tenant.kubesphere.io/v1alpha2
kind: WorkspaceTemplate
metadata:
  name: app
spec:
  # placement: {}
  placement:
    clusters:
    - name: <CLUSTER_NAME>
  template:
    spec:
      manager: <USERNAME>
EOF

cat << EOF | kubectl apply -f -
apiVersion: iam.kubesphere.io/v1alpha2
kind: WorkspaceRoleBinding
metadata:
  labels:
    iam.kubesphere.io/user-ref: <USERNAME>
    kubesphere.io/workspace: <WORKSPACE_NAME>
  name: <USERNAME>-<WORKSPACE_ROLE_NAME>
roleRef:
  apiGroup: iam.kubesphere.io
  kind: WorkspaceRole
  name: <WORKSPACE_ROLE_NAME>
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: <USERNAME>
EOF

# 更为高级灵便的应用办法，能够降级为定期、定时、触发式、差异化增量 / 全量同步账户信息

本文由博客一文多发平台 OpenWrite 公布！

正文完

云计算

发表至：云计算

2023-01-05

0

关于云计算:Gopher转Rust辣眼睛语法排行榜

关于云计算:你了解自己的业务IO么

关于云计算:如何通过链路追踪进行定时任务诊

关于云计算:DL4J实战之六图形化展示训练过程

关于ebpf:从编译到可执行eBPF-加速容器网络的原理分析-龙蜥技术

关于云计算:KubeSphere-使用-OpenLDAP-进行统一认证完全指南

背景

前置条件

KubeSphere 中部署 LDAP

部署 LDAP 利用

ApacheDirectoryStudio 验证 LDAP

下载部署 ApacheDirectoryStudio

ApacheDirectoryStudio 测试 LDAP

创立 Ldap Search，KS 对接时可抉择应用

KubeSphere 对接 LDAP

Harbor 的对接界面是酱紫

KubeSphere 的对接形式是酱紫

KubeSphere 配置验证

测试应用 OpenLDAP

批量导出导入用户数据到 KubeSphere

导入账号到 KubeSphere

为导入账号关联平台角色

已有企业空间 / 创立企业空间

将用户关联企业空间角色

将用户和上述办法进行批量化脚本即可

Just My Socks（注册教程内含优惠码）

关于云计算:KubeSphere-使用-OpenLDAP-进行统一认证完全指南

背景

前置条件

KubeSphere 中部署 LDAP

部署 LDAP 利用

ApacheDirectoryStudio 验证 LDAP

下载部署 ApacheDirectoryStudio

ApacheDirectoryStudio 测试 LDAP

创立 Ldap Search，KS 对接时可抉择应用

KubeSphere 对接 LDAP

Harbor 的对接界面是酱紫

KubeSphere 的对接形式是酱紫

KubeSphere 配置验证

测试应用 OpenLDAP

批量导出导入用户数据到 KubeSphere

导入账号到 KubeSphere

为导入账号关联平台角色

已有企业空间 / 创立企业空间

将用户关联企业空间角色

将用户和上述办法进行批量化脚本即可

Just My Socks（注册教程 内含优惠码）

Just My Socks（注册教程内含优惠码）