tremolosecurity/openunison-k8s-login-saml2

Orchestra Login Portal for SAML2

![视频缩略图]([***]

使用SAML2登录Kubernetes并使用kubectl的简短视频

Orchestra Login Portal提供Kubernetes登录门户，允许通过SAML2身份提供商进行身份验证，使用身份提供商的组进行RBAC授权，并集成kubectl和Kubernetes Dashboard（https://github.com/kubernetes/dashboard%EF%BC%89%E3%80%82%E8%AF%A5%E9%97%A8%E6%88%B7%E8%BF%90%E8%A1%8C%E5%9C%A8Kubernetes%E5%86%85%E9%83%A8%EF%BC%8C%E5%88%A9%E7%94%A8Kubernetes%E7%9A%84%E5%8F%AF%E6%89%A9%E5%B1%95%E6%80%A7%E3%80%81%E5%AF%86%E9%92%A5%E7%AE%A1%E7%90%86%E5%92%8C%E9%83%A8%E7%BD%B2%E8%83%BD%E5%8A%9B%E3%80%82

!https://raw.githubusercontent.com/OpenUnison/openunison-k8s-login-saml2/master/imgs/openunison_qs_kubernetes.png

当用户通过Orchestra访问Kubernetes时，他们将通过OpenUnison（而非直接通过入口）访问登录门户和仪表板。OpenUnison会将用户身份注入每个请求，允许仪表板代表用户操作。登录门户除身份提供商和Kubernetes外无外部依赖，所有会话状态对象均存储为CRD。

部署

开始前准备

部署Orchestra前需要：

1. Kubernetes 1.10或更高版本
2. 已部署Nginx Ingress Controller（https://kubernetes.github.io/ingress-nginx/deploy/%EF%BC%89
3. SAML2身份提供商的元数据（URL或元数据本身）
4. 已部署Kubernetes仪表板到集群
5. helm 3.0+

部署流程分为四个步骤：

1. 添加Tremolo Security的Helm仓库
2. 部署OpenUnison Operator
3. 为Active Directory密码创建密钥
4. 部署OpenUnison

添加Tremolo Security的Helm仓库

bash
helm repo add tremolo https://nexus.tremolo.io/repository/helm/
helm repo update

部署OpenUnison Operator

创建命名空间

bash
kubectl create ns openunison

部署Operator

bash
helm install openunison tremolo/openunison-operator --namespace openunison

等待Operator Pod可用

bash
watch kubectl get pods -n openunison

为OpenUnison创建密钥

在openunison命名空间中创建密钥：

yaml
apiVersion: v1
type: Opaque
metadata:
  name: orchestra-secrets-source
  namespace: openunison
data:
  K8S_DB_SECRET: aW0gYSBzZWNyZXQ=
  unisonKeystorePassword: aW0gYSBzZWNyZXQ=
kind: Secret

部署OpenUnison

复制values.yaml（https://raw.githubusercontent.com/OpenUnison/helm-charts/master/openunison-k8s-login-saml2/values.yaml%EF%BC%89%E5%B9%B6%E9%80%82%E5%BD%93%E6%9B%B4%E6%96%B0%EF%BC%9A

此外，如果SAML2身份提供商的证书链使用自签名证书，需将其Base64编码的PEM证书添加到trusted_certs的pem_b64值下。这将允许OpenUnison使用TLS与身份提供商通信以检索元数据。

最后，运行helm chart：

bash
helm install orchestra tremolo/openunison-k8s-login-saml2 --namespace openunison -f /path/to/values.yaml

与身份提供商完成集成

Orchestra的元数据发布在OU_HOST配置选项下的/auth/forms/saml2_rp_metadata.jsp。例如，若OU_HOST为k8sou.tremolo.lan，则元数据URL为https://k8sou.tremolo.lan/auth/forms/saml2_rp_metadata.jsp。将其导入身份提供商，并向断言添加以下属性，以便OpenUnison识别登录用户：

如果使用Active Directory Federation Services，可使用以下声明转换规则：

c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
 => issue(store = "Active Directory", types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", "uid", "givenName", "sn", "mail","memberOf"), query = ";sAMAccountName,sAMAccountName,givenName,sn,mail,memberOf;{0}", param = c.Value);

导入元数据并添加属性后，即可登录Orchestra。

与Kubernetes完成SSO集成

如果使用模拟模式，可跳过此步骤。运行kubectl describe configmap api-server-config -n openunison获取SSO集成工件。输出将提供需要在API服务器上配置的标志。需要信任的证书位于openunison命名空间的ou-tls-certificate密钥中。

首次登录

要登录，打开浏览器并访问在input.props中指定的OU_HOST主机。例如，若OU_HOST为k8sou.tremolo.lan，则导航至[***] Directory用户名和密码。身份验证后，可登录门户并从“Tokens”屏幕生成.kube/config。

通过RBAC授权访问

首次登录时，若未授权访问任何Kubernetes角色，则无法执行任何操作。有两种授权方法：

基于组的成员资格

如果身份提供商可以将组名填充到断言的memberOf属性中，可通过OpenUnison使用这些组进行授权。OpenUnison将通过提供给Kubernetes的id_token提供用户的所有组。groups声明是值列表，此处为用户组的可分辨名称。例如，在AD中创建名为k8s_login_ckuster_admins的组，位于ent2k12.domain.com域的Users容器中，组的可分辨名称为CN=k8s_login_ckuster_admins,CN=Users,DC=ent2k12,DC=domain,DC=com（可从AD中组的distinguishedName属性获取确切名称）。要授权此组成员为集群管理员，创建ClusterRoleBinding：

yaml
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: activedirectory-cluster-admins
subjects:
- kind: Group
  name: CN=k8s_login_ckuster_admins,CN=Users,DC=ent2k12,DC=domain,DC=com
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: rbac.authorization.k8s.io

基于用户的成员资格

如果无法将组填充到memberOf中，可直接将用户添加到角色绑定。Kubernetes要求使用身份提供商URL前缀标识OpenID Connect用户。例如，若OU_HOST为k8sou.tremolo.lan，用户登录名为mmosley，则Kubernetes中的用户名为https://k8sou.tremolo.lan/auth/idp/k8sIdp#mmosley。要创建集群角色绑定授予特定用户集群管理员访问权限：

yaml
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: activedirectory-cluster-admins
subjects:
- kind: User
  name: https://k8sou.tremolo.lan/auth/idp/k8sIdp#mmosley
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: rbac.authorization.k8s.io

注意：这种方法存在多个问题：

1. 难以审计 - 无法轻松查看“mmosley是哪些角色绑定的成员？”
2. 难以移除访问权限 - 需找出用户所在的每个角色绑定
3. 容易出错 - 若输错用户登录ID，Kubernetes不会提示

如果无法使用Active Directory组，可查看OpenUnison Identity Manager for Kubernetes - https://github.com/TremoloSecurity/openunison-qs-kubernetes/tree/activedirectory%E3%80%82%E8%AF%A5%E5%B7%A5%E5%85%B7%E9%99%A4%E7%99%BB%E5%BD%95%E5%8A%9F%E8%83%BD%E5%A4%96%EF%BC%8C%E8%BF%98%E8%83%BD%E7%AE%A1%E7%90%86%E9%9B%86%E7%BE%A4%E5%92%8C%E5%91%BD%E5%90%8D%E7%A9%BA%E9%97%B4%E8%AE%BF%E9%97%AE%EF%BC%8C%E5%B9%B6%E6%8F%90%E4%BE%9B%E7%94%A8%E6%88%B7%E8%87%AA%E5%8A%A9%E8%AF%B7%E6%B1%82%E6%96%B0%E5%91%BD%E5%90%8D%E7%A9%BA%E9%97%B4%E5%92%8C%E7%AE%A1%E7%90%86%E8%AE%BF%E9%97%AE%E7%9A%84%E6%96%B9%E5%BC%8F%E3%80%82

添加用于身份验证的应用和集群

OpenUnison可支持除Kubernetes和仪表板外的更多SSO应用。通过向openunison命名空间添加自定义资源，可添加支持OpenID Connect的其他集群和应用。

添加信任

Trust告知OpenID Connect应用可信任来自OpenUnison的身份验证请求。开始前需要：

1. 回调URL - OpenUnison在身份验证后重定向用户的URL。
2. 客户端密钥 - Web应用（如GitLab）需要在两者间共享的密钥。具有CLI组件的应用（如ArgoCD）不需要客户端密钥。
3. 客户端ID - 用于向OpenUnison标识应用。

OpenUnison将为应用提供以下声明：

准备好后，创建Trust对象。

创建密钥

如果应用使用客户端密钥，需创建存储密钥的Secret。可以是新密钥或现有密钥。记录存储密钥的Secret名称和data部分的键名。

如果应用不需要客户端密钥，跳过此步骤。

创建Trust

在openunison命名空间中创建Trust对象。以下是GitLab的示例：

yaml
apiVersion: openunison.tremolo.io/v1
kind: Trust
metadata:
  name: gitlab
  namespace: openunison
spec:
  accessTokenSkewMillis: 120000
  accessTokenTimeToLive: 60000
  authChainName: LoginService
  clientId: gitlab
  clientSecret:
    keyName: gitlab
    secretName: orchestra-secrets-source
  codeLastMileKeyName: lastmile-oidc
  codeTokenSkewMilis: 60000
  publicEndpoint: false
  redirectURI:
  - https://gitlab.local.tremolo.dev/users/auth/openid_connect/callback
  signedUserInfo: false
  verifyRedirect: true

各选项说明：

将Trust添加到命名空间后，OpenUnison将自动获取。可通过尝试登录应用进行测试。

在门户添加“徽章”

登录Orchestra门户时，有令牌和仪表板的徽章。也可动态添加应用徽章。以下是ArgoCD的PortalUrl对象示例：

yaml
apiVersion: openunison.tremolo.io/v1