v1.10より前のバージョンだと、apiserverででexperimental-keystone-url オプションを設定し、クライアントのkubeconfigでユーザー名とパスワードを設定すればkeystone認証できていた。しかし、v1.10ではこのオプションが削除されたため、別の方法としてcloud-provider-openstackを使う。このリポジトリはいろいろ混ざっていてややこしく、LBaaSやCinderとの連携機能についても提供している（別コマンド）。
さて、cloud-provider-openstackを使ってkeystoneによるユーザー認証を実現するにはクライアント側、サーバー側それぞれで設定が必要になる。クライアント側ではKeystoneからトークンを取得し、apiserverへ送る。サーバー側であるapiserverでは受け取ったトークンを使ってkeystoneに問い合わせ、そのトークンがユーザーが発行したものであることを確認する。
まずはクライアント側の設定についてだが、cloud-provider-openstackからclient-keystone-authをダウンロードし（ビルドしてもOK）、実行可能なPATHに配置する。そして、kubeconfigのユーザーとして以下のような設定を追加、コンテキストとして利用できるようにする。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 |
users: - name: username user: exec: apiVersion: client.authentication.k8s.io/v1beta1 command: "/path/to/client-keystone-auth" env: - name: "OS_USERNAME" value: "username" - name: "OS_PASSWORD" value: "password" - name: "OS_PROJECT_NAME" value: "project_name" args: - "--domain-name=default" - "--keystone-url=https://openstack.repl.info/auth/v3" |
次にサーバー側だが、apiserverでwebhookを有効にし、webhook先をk8s-keystone-authにする。
|
1 |
--authentication-token-webhook-config-file=/etc/kubernetes/webhookconfig.yaml |
webhookconfig.yamlは以下の通り。10.233.0.3はk8s-keystone-auth用のサービスが持つClusterIPを指定する。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 |
--- apiVersion: v1 kind: Config preferences: {} clusters: - cluster: insecure-skip-tls-verify: true server: https://10.233.0.3:8443/webhook name: webhook users: - name: webhook contexts: - context: cluster: webhook user: webhook name: webhook current-context: webhook |
k8s-keystone-authはDeploymentとして動かしておく。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 |
--- apiVersion: v1 kind: ConfigMap metadata: name: k8s-auth-policyk8s-keystone-auth-config namespace: kube-system data: policies: | [ { "resource": { "verbs": ["get", "list", "watch"], "resources": ["pods"], "version": "*", "namespace": "default" }, "match": [ { "type": "role", "values": ["k8s-viewer"] }, { "type": "project", "values": ["demo"] } ] } ] --- apiVersion: apps/v1 kind: Deployment metadata: name: k8s-keystone-auth namespace: kube-system labels: app: k8s-keystone-auth spec: replicas: 2 selector: matchLabels: app: k8s-keystone-auth template: metadata: labels: app: k8s-keystone-auth spec: containers: - name: k8s-keystone-auth image: k8scloudprovider/k8s-keystone-auth imagePullPolicy: Always args: - ./bin/k8s-keystone-auth - --tls-cert-file - /etc/kubernetes/ssl/apiserver.pem - --tls-private-key-file - /etc/kubernetes/ssl/apiserver-key.pem - --policy-configmap-name - k8s-auth-policy - --keystone-url - {{ auth_url }} volumeMounts: - mountPath: /etc/kubernetes/ssl name: kubernetes-ssl readOnly: true ports: - containerPort: 8443 volumes: - name: kubernetes-ssl hostPath: path: /etc/kubernetes/ssl --- kind: Service apiVersion: v1 metadata: name: k8s-keystone-auth-service namespace: kube-system spec: selector: app: k8s-keystone-auth clusterIP: 10.233.0.3 ports: - protocol: TCP port: 8443 targetPort: 8443 |
これで、v1.10以降でもKeystoneを使った認証を行うことができる。認可についても可能なようだが、今のところ認可はRBACを使っていて困っていないので認証だけでいいかな、という気持ち。