getpinniped/pinniped-server

Pinniped 官方容器镜像

概述

Pinniped 是一个开源的 Kubernetes 身份验证服务，旨在简化和安全地实现 Kubernetes 集群的用户身份验证。本镜像为 Pinniped 服务的官方容器化分发形式，包含运行 Pinniped 所需的全部组件，支持在 Kubernetes 环境中快速部署和配置身份验证服务，允许用户通过外部身份提供商（如 OIDC、LDAP、SAML 等）登录 Kubernetes 集群。

核心功能与特性

• 多身份提供商支持：兼容 OIDC（OpenID Connect）、LDAP（Lightweight Directory Access Protocol）、SAML（Security Assertion Markup Language）等多种外部身份提供商，满足不同企业的身份管理需求。
• Kubernetes 原生集成：与 Kubernetes API Server 深度集成，通过认证 Webhook 机制处理用户身份验证请求，符合 Kubernetes 安全最佳实践。
• 组件化架构：包含两个核心组件：
  • Concierge：在每个 Kubernetes 集群中部署，作为身份验证代理，接收并验证用户的身份凭证，生成 Kubernetes 可识别的认证令牌。
  • Supervisor（可选）：集中式组件，用于管理多个身份提供商配置，支持跨集群的身份验证策略统一管理。
• 安全增强：支持 TLS 加密通信、令牌签名验证、最小权限原则等安全特性，保障身份验证过程的安全性。
• 可扩展性：设计灵活，支持自定义身份验证流程和扩展，适应复杂的企业身份管理场景。

使用场景与适用范围

• 多 Kubernetes 集群环境：适用于需要统一管理多个 Kubernetes 集群身份验证的场景，通过 Supervisor 组件实现跨集群身份提供商配置共享。
• 企业级身份集成：需要将 Kubernetes 集群身份验证与企业现有身份系统（如 Active Directory、Okta、Azure AD 等）集成的场景。
• 安全合规需求：满足企业对身份验证的严格安全要求，如多因素认证（MFA）、单点登录（SSO）、审计日志等。
• 开发与生产环境：适用于从开发测试到生产部署的全生命周期，提供一致的身份验证体验。

使用方法与配置说明

镜像获取

可通过以下命令拉取最新版本的 Pinniped 官方镜像：

bash
docker pull ghcr.io/vmware-tanzu/pinniped-server:latest

具体版本可替换 latest 为指定版本号，版本列表可参考 https://github.com/vmware-tanzu/pinniped/pkgs/container/pinniped-server%E3%80%82

基本使用示例

使用 docker run 运行 Concierge 组件

bash
docker run -d \
  --name pinniped-concierge \
  -v /path/to/concierge-config.yaml:/etc/pinniped/concierge/config.yaml \
  -e LOG_LEVEL=info \
  -e NAMESPACE=pinniped-concierge \
  ghcr.io/vmware-tanzu/pinniped-server:latest \
  concierge start \
    --config=/etc/pinniped/concierge/config.yaml

使用 docker run 运行 Supervisor 组件（可选）

bash
docker run -d \
  --name pinniped-supervisor \
  -v /path/to/supervisor-config.yaml:/etc/pinniped/supervisor/config.yaml \
  -e LOG_LEVEL=info \
  -e NAMESPACE=pinniped-supervisor \
  ghcr.io/vmware-tanzu/pinniped-server:latest \
  supervisor start \
    --config=/etc/pinniped/supervisor/config.yaml

配置说明

Pinniped 配置主要通过 YAML 配置文件进行，不同组件（Concierge/Supervisor）的配置文件结构有所差异，详细配置参数可参考 Pinniped 官方文档。以下为核心配置项说明：

Concierge 配置核心项

• apiServer：Kubernetes API Server 的地址和认证配置，用于与集群通信。
• authenticators：配置身份验证器，如 OIDC 或 LDAP 客户端信息。
• tls：TLS 证书配置，用于安全通信。

Supervisor 配置核心项

• identityProviders：定义外部身份提供商列表，包含类型（OIDC/LDAP/SAML）、端点、客户端 ID/密钥等信息。
• issuer：Supervisor 作为 OIDC 发行者的配置，包括 URL、签名密钥等。

环境变量

Pinniped 容器支持以下常用环境变量进行配置：

• LOG_LEVEL：日志级别，可选值：debug、info、warn、error，默认 info。
• NAMESPACE：Pinniped 组件运行的 Kubernetes 命名空间，默认 pinniped-system。
• METRICS_PORT：指标暴露端口，默认 8080。
• HEALTH_PROBE_PORT：健康检查端口，默认 8081。

注意事项

• 本镜像需在 Kubernetes 环境中运行，直接使用 docker run 仅适用于测试目的，生产环境建议通过 Kubernetes manifests 或 Helm Chart 部署（官方提供 Helm Chart）。
• 确保配置的身份提供商（如 OIDC 服务）可被 Pinniped 组件访问，并正确配置客户端权限。
• 生产环境中必须启用 TLS 加密，并使用安全的密钥管理方式（如 Kubernetes Secrets）存储敏感信息（如客户端密钥、证书等）。

参考资料

• Pinniped 官方文档
• https://github.com/vmware-tanzu/pinniped
• https://github.com/vmware-tanzu/pinniped/pkgs/container/pinniped-server