oursky/kubernetes-github-authn

Kubernetes GitHub令牌认证Webhook

本项目实现了Kubernetes的Webhook令牌认证器，用于通过GitHub个人访问令牌（Personal Access Token）认证用户。

当用户尝试访问Kubernetes API时，Kubernetes apiserver会调用此认证器验证Bearer令牌。认证器通过GitHub API检查令牌有效性，并将GitHub用户名返回给apiserver。需配合Kubernetes的授权插件控制用户对资源的访问权限。

核心功能

• 验证GitHub个人访问令牌的有效性
• 返回GitHub用户名作为认证后的用户标识
• 与Kubernetes授权机制（如RBAC）兼容，支持细粒度权限控制

使用场景

• Kubernetes集群需要基于GitHub账号进行用户身份认证的场景
• 需要通过RBAC为GitHub用户分配集群资源访问权限的环境

配置说明

部署认证器

推荐在Kubernetes master节点使用主机网络运行认证器，确保apiserver可通过回环接口访问。使用以下命令部署DaemonSet：

bash
kubectl create -f https://raw.githubusercontent.com/oursky/kubernetes-github-authn/master/manifests/github-authn.yaml

验证部署状态：

bash
kubectl get ds -l k8s-app=github-authn -n kube-system

配置Apiserver

需设置两个apiserver参数：

1. --authentication-token-webhook-config-file：指向描述如何访问Webhook服务的kubeconfig文件（示例见token-webhook-config.json）
2. --authentication-token-webhook-cache-ttl：认证决策的缓存时间（默认2分钟）

将配置文件保存到master节点，并在apiserver配置中指定路径。建议参考Kubernetes官方文档完成配置。

RBAC授权配置

推荐使用RBAC进行权限控制，以下是示例步骤：

1. 创建admin集群角色：

bash
kubectl create -f https://raw.githubusercontent.com/oursky/kubernetes-github-authn/master/manifests/admin-cluster-role.yaml

2. 为用户johndoe分配project1命名空间的admin权限：

bash
kubectl create namespace project1
kubectl create rolebinding johndoe-admin-binding --clusterrole=admin --user=johndoe --namespace=project1

3. 若需全局admin权限，创建ClusterRoleBinding：

bash
kubectl create clusterrolebinding johndoe-admin-binding --clusterrole=admin --user=johndoe

更多RBAC配置细节请参考Kubernetes RBAC文档。