Kubernetes es un orquestador de contenedores, usado ampliamente en organizaciones y compañías en sus diferentes versiones. Los administradores del clúster tienen medios por los cuales administran el mismo, estos son proporcionados por los propios proveedores o configurados desde el aprovisionamiento.
En muchas ocasiones es realmente útil que el acceso a Kubernetes no sea solamente para administradores, sino también a desarrolladores o terceros que quieran consultar algún tipo de información. Por ejemplo, un desarrollador podría consultar el estado en que se encuentra su aplicación, los dominios expuestos, la configuración establecida o los logs en tiempo real para propósitos de depuración.
La mayoría de compañías disponen de una gestión centralizada de usuarios, incluyendo servicios como LDAP o Active Directory. Estos usuarios pueden pertenecer a grupos para poder clasificarlos y ayudar a su identificación en los diferentes sistemas. Por ejemplo, el grupo developer, donde todos los usuarios desarrolladores son añadidos al entrar en la compañía.
Una de las grandes ventajas de un SSO (o inicio de sesión único) es que permite a los usuarios autenticarse a través de un único punto sin tener que gestionar diferentes accesos.
Openunison es la pieza de software que permitirá el funcionamiento de un sistema de identidad y Kubernetes. Actuará de “puente” permitiendo que el usuario pueda autenticarse y pueda realizar diferentes acciones según el alcance de las mismas (RBAC).
Aunque el artículo comprende varias tecnologías y operativas, para su entendimiento es necesario que se tenga experiencia en Kubernetes a nivel de administración/configuración y por supuesto también de la herramienta helm.
La finalidad del artículo es realizar la instalación y de configuración de Openunison en un clúster de Kubernetes. Demostraremos un inicio de sesión usando el SSO de github, que nos permitirá una conexión al dashboard de Kubernetes y a la api de Kubernetes mediante un token temporal.
Para mejor entendimiento del mismo aclaremos algunos conceptos, aunque no entraremos en detalles profundos.
Single Sign On (SSO)
Es un método de autenticación que permite a los usuarios autenticarse contra diferentes aplicaciones y servicios usando solamente una credencial (por ejemplo, usuario y contraseña). Es muy común el uso web del mismo en los que la autenticación se realiza mediante diferentes mecanismos como SAML.
Proveedor de identidad (IDP)
Es un sistema que gestiona los datos de usuario y proporciona diferentes vías, mecanismos y protocolos para acceder a ellos. Estos servicios pueden tener su propio sistema de almacenamiento o bien conectarse a un tercero para la obtención de los mismos, como LDAP o Active Directory. Un ejemplo de idp open source sería Keycloak.
Helm
Permite instalar los charts en el clúster de Kubernetes. Los charts son definiciones de las diferentes aplicaciones, servicios, configuraciones, y objetos de Kubernetes que conlleva el paquete de software. Podemos instalar una aplicación de forma directa indicando previamente una configuración establecida en un fichero yaml. Sin usar este empaquetado, tardaríamos muchísimo más tiempo en leer toda la documentación para escribir la configuración y conectar todas las piezas.
El concepto es similar a un gestor de paquetes de Kubernetes. No entramos en detalles en este artículo, puedes leer estos artículos de nuetro blog para su mejor compresión: helm – despliga tus aplicaciones y su continuación.
Kubernetes: autenticación y roles
Uno de los componentes principales en un clúster de Kubernetes es la API (kube-api-server). Este componente expone una api HTTP para usuarios finales, en los que se puede consultar y manipular el estado de los objetos, como pods, configmaps, etc.
Kubernetes presenta diferentes formas para la autenticación: certificados, tokens, usuarios y contraseñas. Una de las funcionalidades en cuestión de permisos RBAC, o gestión de permisos basados en roles.
Documentación oficial Mecanismos de autenticación
RBAC
Permite establecer una serie de reglas para gestionar los permisos que tiene una entidad referente a los objetos de api.
Para ello existen 4 tipos de objetos:
- Role. Definicción de permisos sobre los recursos de una apigroup, en un determinado namespace.
- ClusterRole. Misma idea de role pero a nivel de clúster, sin tener en cuenta el namespace.
- RoleBinding. Concede los permisos a una entidad a nivel de namespace.
- ClusterRoleBinding. Concede los permisos a una entidad a nivel de clúster.
Implementación de la api de Kubernetes: ApiVersion:rbac.authorization.k8s.io/v1
Openunison
Openunison es un software desarrollado por Tremolo Security y que tiene una licencia Apache License 2.0. Está publicado en github.
Proporciona SSO y autenticación para los clusters de Kubernetes, independientemente de su localización y proveedor. Aunque puede funcionar de forma standalone, sin el contexto de Kubernetes, no es objetivo de este artículo. Nos centraremos exclusivamente en su versión conjunta para Kubernetes.
Dispone de otras funcionalidades no cubiertas en este artículo, como alta disponibilidad con AMQ, integraciones con azuread, googlws, kiali, etc.
Componentes
La mayoría de las funcionalidades propias del IDP residen en su principal componente, openunison. Dispone de numerosos plugins/componentes adicionales para añadir funcionalidades y realizar integraciones con terceros.
En referencia al helm y su instalación en Kubernetes, podemos decir que está formado por tres componentes principales, disponiendo cada uno de un chart.
Para su completo funcionamiento, necesitamos tener instalado Kubernetes dashboard, si deseamos esta funcionalidad, aunque no es obligatorio.
Kubernetes dashboard
Es un software con licencia Apache 2.0 y suele ser utilizado en clusters para visualizar de forma gráfica e interactuar con el mismo. Aunque no es un producto de Tremolo, es necesario instalarlo para su uso y ver la funcionalidad que queremos mostrar en este artículo.
Internamente utiliza un service account para conectar con la api y obtener toda la información. Es una aplicación realizada las tecnologías Angular y Go.
Orchestra (openunison)
Realiza las funciones de gestión de identidad necesarias para la mayoría de las aplicaciones: sso, aprovisionamiento de los usuarios, federación y servicios web. Es la aplicación base o core del sistema.
Portal de login de orchestra (orchestra-login-portal)
El portal web permite a los usuarios auntenticación y interactuar con Kubernetes.
Existen dos posibles vías principalmente:
- Kubernetes dashboard
- Token para usar con kubectl
Operador de kuberentes (openunison-operator)
Proporciona mecanismos para la automatización de operaciones para las instancias de OpenUnison que corran en el clúster. El operador generará la configuración necesaria para que Openunison funcione:
- Certificados y generación de claves
- Creación de secrets, deployments, services e ingress
- Configuración para OpenShift
- Importación de metadatos de SAML desde una url o xml
- Inicialización de la base de datos para realizar el seguimiento de datos de auditoría
- Despliegue de ActiveMQ para alta disponibilidad
Openunison helm charts
Unas de las opciones disponibles para instalar el software es en formato helm chart.
Puedes consultar el listado de chart disponibles aunque nos centraremos mayormente en los siguientes para su instalación:
- openunison-operator
- openunison-orchestra
- openunison-orchestra-login-portal
Instalación
Existen disponibles diferentes métodos para la instalación:
- ArgoCD
- ouctl: herramienta propia creada por tremolo para facilitiar la instalación.
- Despliegue manual con helm
El artículo actual se ha realizado utilizando el método tres, usando minikube con docker en una máquina linux.
Documentación de instalación centrada en la versión de helm
Documentación detallada más técnica a nivel de instalación aislada
Requisitos
Clúster de Kubernetes
Para poder instalar la herramienta, necesitamos el elemento fundamental, un clúster de Kubernetes. Existen muchas maneras de conseguir un clúster básico de un nodo de forma rápida.
Es recomendable tener la funcionalidad de ingress activada para poder visualizar el portal de forma más cómoda, o bien utilizaremos la funcionalidad de port-fowarding para publicar temporalmente la aplicación.
Windows
En el blog disponemos de este artículo para su instalación en Windows 10.
Linux
Puedes tener un clúster de un nodo de manera muy fácil, teniendo docker instalado y minikube.
En la documentación oficial explican al detalle su instalación: docker y minikube
Docker será instalado a través de la paquetería usando su repositorio propio y minikube puede ser descargado e instalado en tu local. Además, debes de instalar kubectl.
Macos
La aplicación Docker desktop permite instalar docker y entre sus opciones activar un clúster de un nodo de Kuberentes.
Arquitectura ARM
Lamentablemente openunision no dispone de imágenes en arquitectura arm64.
Puedes construirla desde tu local para que posteriormente estén disponibles en la cache de imágenes del clúster y que no sean descargadas del registry público. Puedes consultar los dockerfile en los diferentes repositorios. Éste es el dockerfile de openunison-kubernetes-operator.
Algunas imágenes:
- docker.io/library/openunison-kubernetes-operator:1.0.6
- ghcr.io/tremolosecurity/python3:1.0.0
- ghcr.io/openunison/openunison-k8s:1.0.40
- ghcr.io/openunison/openunison-kubernetes-operator:1.0.6
- docker.io/tremolosecurity/kubernetes-artifact-deployment:1.1.0
Si utilizas minikube, puedes añadir estas imágenes en la cache del clúster
# Guardamos la imagen en local
docker save ghcr.io/openunison/openunison-kubernetes-operator > myimage.tar openunison
# Añadimos en la cache del clúster
minikube image load myimage.tar
Proveedor de identidad
Para poder probar la funcionalidad es necesario contar con un IDP.
Diferentes fuentes de identidad:
- Active directory/LDAP
- OpenId Connect
- GitHub
- SAML2
Github
Lo utilizaremos en la prueba actual. Para que sea lo más fácil y menos complejo, creamos una cuenta en github y además la activaremos para que contemple una organización.
- Creamos una cuenta de github, para ello necesitamos una cuenta de correo electrónico
- Una vez creada y activada, necesitaremos crear una organización. En la sección opciones de github (disponible en el menú hamburguesa del perfil), en la sección de acceso podemos localizar «Organizaciones». Podemos crear desde aquí una nueva organización, que será clave para poder configurar los roles a los miembros de la organización.
- También será necesario crear una github app. Este apartado se especifica más adelante en la instalación.
Instalación de Kubernetes dashboard
Una vez revisados los requisitos mínimos, podemos empezar a realizar las instalaciones de los charts.
Procedemos a instalar el componente y sus configuraciones por defecto en el namespace kubernetes-dashboard
kubectl apply -f https://raw.githubusercontent.com/kubernetes/dashboard/v2.7.0/aio/deploy/recommended.yaml
Este deployment no contempla ninguna ingress. La ingress es ya gestionada por Openunison al activar el valor en values.yaml
Añadir el repositorio de helm charts de Openunison
helm repo add tremolo https://nexus.tremolo.io/repository/helm/
helm repo update
Podemos ver las versiones últimas
helm search repo
Para esta instalación usaremos las veriones de chart y app
- tremolo/openunison-operator 3.0.11 y 1.0.40
- tremolo/orchestra 2.10.48 y 1.0.40
Github
Utilizaremos el proveedor github, pues el más rápido sin tener que disponible de un SSO local. El mecanismo consiste en proporcionar una url de retorno de autorización (Authorization callback URL)
Creación de una Github app
Necesitamos disponer de una cuenta github activa.
Registramos una github app que controlará la integración.
Aquí debemos tener en cuenta la siguiente información:
- Client id y client secret
- Homepage URL: Página principal donde redirecciona tras iniciar sesión.
- Authorization callback URL: Endpoint que implementa el esquema de autenticación.
Para esta prueba se ha configurado https://k8sou.apps.ou.tremolo.dev/ como homepage url y https://k8sou.apps.ou.tremolo.dev/auth/github como Authorization callback URL. Recordar que tenéis que añadir estos dominios en vuestro fichero host para que os funcione correctamente.
Nos centraremos en los valores mínimos para que la aplicación funcione correctamente.
Ficheros de configuración
Creación de un namespace para instalación
kubectl create ns openunision
Configuración RBAC para otorgar a los miembros de la organización github los permisos definidos del rol cluster-admin.
Realizaremos la instalación de las siguientes configuraciones:
kubectl apply -f fichero.yaml
rbac_github.yaml
Configura name con el nombre de tu org o org/team
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
name: github-cluster-admins
subjects:
- kind: Group
name: **** # Sustituye aqui el nombre de tu github org
roleRef:
kind: ClusterRole
name: cluster-admin
apiGroup: rbac.authorization.k8s.io
Por defecto la aplicación utiliza una serie de credenciales, creamos un secreto, además añadiremos el valor GITHUB_SECRET_ID
Los valores de K8S_DB_SECRET y unisonKeystorePassword deben de ser generados de nuevo para producción.
Configura GITHUB_SECRET_ID con tu github app secret id
orchestra-secrets-source.yaml
apiVersion: v1
type: Opaque
metadata:
name: orchestra-secrets-source
namespace: openunison
data:
K8S_DB_SECRET: ********
unisonKeystorePassword: ********
GITHUB_SECRET_ID: ********
kind: Secret
Instalación de openunison-operador
helm install openunison tremolo/openunison-operator --namespace openunison
Si necesitas ver la salida final que aplica, recuerda que puedes hacerlo con template render
Verificamos que el pod está ya corriendo
k get pods -n openunison
NAME READY STATUS RESTARTS AGE
openunison-operator-6855ff588d-mw4w6 1/1 Running 0 84s
Instalación de openunison-orchestra
Fichero de configuración values.yaml.
Realizaremos una configuración mínima viable para su funcionamiento.
Configura los valores
- github.client_id
- github.teams
- k8s_url
network:
openunison_host: "k8sou.apps.ou.tremolo.dev" # Dominio del portal login de orquestra
dashboard_host: "k8sdb.apps.ou.tremolo.dev" # Dominio del dashboard de Kubernetes
api_server_host: "k8sapi.apps.ou.tremolo.dev" # Api orquestra
session_inactivity_timeout_seconds: 900
k8s_url: https://192.168.49.2:6443 # Dirección y puerto del api server
force_redirect_to_tls: false
createIngressCertificate: true
ingress_type: nginx
ingress_annotations: {}
cert_template:
ou: "Kubernetes"
o: "MyOrg"
l: "My Cluster"
st: "State of Cluster"
c: "MyCountry"
myvd_config_path: "WEB-INF/myvd.conf"
k8s_cluster_name: openunison-cp
enable_impersonation: false
impersonation:
use_jetstack: true
explicit_certificate_trust: true
dashboard:
namespace: "kubernetes-dashboard"
cert_name: "kubernetes-dashboard-certs"
label: "k8s-app=kubernetes-dashboard"
service_name: kubernetes-dashboard
require_session: true
enabled: true
certs:
use_k8s_cm: false
trusted_certs: []
monitoring:
prometheus_service_account: system:serviceaccount:monitoring:prometheus-k8s
github:
client_id: ************** # CLIENT ID DE LA APLICACION DE GIT
teams: ********/ # NOMBRE DE LA ORG GITHUB
#saml:
# idp_url: "https://portal.apps.tremolo.io/idp-test/metadata/dfbe4040-cd32-470e-a9b6-809c8f857c40"
network_policies:
enabled: false
ingress:
enabled: true
labels:
app.kubernetes.io/name: ingress-nginx
monitoring:
enabled: true
labels:
app.kubernetes.io/name: monitoring
apiserver:
enabled: false
labels:
app.kubernetes.io/name: kube-system
services:
enable_tokenrequest: false
token_request_audience: api
token_request_expiration_seconds: 600
node_selectors: []
openunison:
replicas: 1
non_secret_data:
K8S_DB_SSO: oidc
PROMETHEUS_SERVICE_ACCOUNT: system:serviceaccount:monitoring:prometheus-k8s
SHOW_PORTAL_ORGS: "false"
secrets: []
enable_provisioning: false
use_standard_jit_workflow: true
#imagePullPolicy: Never
helm install orchestra tremolo/orchestra --namespace openunison -f values.yaml
Comprobamos que se han creado pods y están corriendo
k get pods -n openunison
NAME READY STATUS RESTARTS AGE
openunison-operator-6855ff588d-mw4w6 1/1 Running 0 14m
openunison-orchestra-79dff6b774-72hp8 1/1 Running 0 70s
Instalación de orchestra-login-portal
Reutilizamos el fichero values.yaml de la sección anterior
helm install orchestra-login-portal tremolo/orchestra-login-portal --namespace openunison -f values.yaml
k get pods -n openunison
NAME READY STATUS RESTARTS AGE
openunison-operator-6855ff588d-mw4w6 1/1 Running 0 17m
openunison-orchestra-79dff6b774-72hp8 1/1 Running 0 4m39s
ouhtml-orchestra-login-portal-5547759cdc-47smn 1/1 Running 0 17s
Tras la instalación se ejecuta un pod para realizar algunos tests
Resolución de ingress
Openunison por defecto instala ingress configuradas con los valores de red proporcionados en el fichero de values.yaml
Depende del proveedor de Kubernetes que estemos usando habrá que realizar un procedimiento para que las ingress resuelva.
En el caso de minikube recuerda tener activado el addon de ingress
minikube addons enable ingress
kubectl get ingress -n openunision
Comprobamos que se han creado las ingress, y que resuelve correctamente
NAME CLASS HOSTS ADDRESS PORTS AGE
openunison-orchestra <none> k8sou.apps.ou.tremolo.dev,k8sdb.apps.ou.tremolo.dev 192.168.49.2 80, 443 19m
Como véis, la ip 192.168.49.2 no esta en la red actual si no que pertence a la red de Kubernetes (es la actual ip del cluster de minikube)
minikube ip
192.168.49.2
En caso de que el sistema no tenga ingress podemos usar minikube tunnel para exponer los servicios de tipo load balancer y que estén accesibles desde el host.
También podemos usar port-forward para exponer una aplicación en concretoEjemplos: kubectl port-forward -n kubernetes-dashboard service/kubernetes-dashboard 8443:443 –address 0.0.0.0
Acceso al portal
Configurarmos el fichero host de nuestro sistema para que pueda resolver correctamente
(/etc/hosts en macos y linux, c:WindowsSystem32Driversetchosts windows)
192.168.1.165 k8sou.apps.ou.tremolo.dev k8sdb.apps.ou.tremolo.dev
Accedemos al portal web nos aparecerá una advertencia de que la autoridad certificadora y le diremos que proceder.
Una vez dentro, al no tener session nos redirecciona a la página de github
Tras conceder permiso a la aplicación de github, nos redireccion de nuevo al portal orquestra
Podemos acceder al dashboard de kuberentes
O bien obtener un token temporal para interactuar con la api kube server
Actualización/Desinstalación
Si durante la instalación encontramos problemas o queremos cambiar la configuración recordar que podemos usar el comando
helm upgrade
Para actualizar el helm sin desinstalar.
Conclusión
La adopción de Kubernetes ha supuesto que muchas compañías descubran la importancia de tener una plataforma que cubra gran parte de las necesidades, facilitando el día a día y proporcionado herramientas ágiles para ser más productivos.
Openunison permite la integración de kubernetes entre diferentes comunidades, no enfocadas especialmente a su administración, como los desarolladores, que podrán consultar y depurar sin tener conocimientos profundos de kubernetes gracias al dashboard de Kubernetes.