Holaaa gente, seguimos con temas de Kubernetes. Para aquell@s que se han preguntado sobre como manejar manejar aspectos de permisos y roles dentro del cluster de K8s, pues acá les tengo un post al respecto. Los guiaré sobre cómo usar RBAC con Minikube. El objetivo es crear usuarios con acceso limitado y controlado a los recursos de kubernetes.
RBAC o control de acceso basado en roles es un enfoque de seguridad para otorgar acceso a recursos específicos a usuarios asignados.
Pero antes debes saber esto
Pero antes de crear un usuario y otorgarle permisos, necesitamos saber algunas cosas sobre la Administración de usuarios en Kubernetes: no tiene una API para crear usuarios. Sin embargo, puede autenticar y autorizar a los usuarios.
Para autenticar las solicitudes de API, k8s utiliza las siguientes opciones: certificados de cliente, tokens, proxy de autenticación o autenticación básica HTTP.
En este blog post utilizaré la autenticación basada en certificados para agregar usuarios.
Kubernetes se crea utilizando una Autoridad de certificación (CA).Todos los certificados SSL firmados con esta CA serán aceptados por la API de Kubernetes.
Posibles opciones para crear certificados: OpenSSL o el Kit de herramientas PKI de CloudFlare. En este blog post usaré OpenSSL. Dos campos importantes en los certificados SSL: Nombre común (CN): Kubernetes interpretará este valor como el Usuario. Organización (O): Kubernetes interpretará este valor como el Grupo.
Manos a la obra
1. Crear un certificado de cliente
Crearemos una solicitud de clave y firma de certificado (CSR) necesaria para crear el certificado. Vamos a crear un directorio donde guardar los certificados. Lo llamaré cert:
mkdir cert && cd cert
Voy a generar una clave usando OpenSSL:
openssl genrsa -out developer.key 2048
Lo siguiente es generar una solicitud de firma de cliente (CSR):
openssl req -new -key developer.key -out developer.csr -subj "/CN=developer/O=devs"
Hasta acá, todo bien. Ejecutemos los siguientes comandos
cd ~/.minikube
ls
y compruebe que los archivos ca.crt y ca.key existan en esta ubicación. Además, mueva los archivos developer.key y developer.csr (creados anteriormente) dentro de este directorio.
Lo siguiente es generar el certificado (CRT):
openssl x509 -req -in developer.csr -CA ~/.minikube/ca.crt -CAkey ~/.minikube/ca.key -CAcreateserial -out developer.crt -days 500
Listos con el certificado, ahora que tenemos .key y .crt, podemos crear un usuario.
2- Crear un usuario
2.1. Establecer una entrada de usuario en kubeconfig
kubectl config set-credentials developer --client-certificate = developer.crt --client-key = developer.key
2.2. Establecer una entrada de contexto en kubeconfig
kubectl config set-context dev-context --cluster = minikube --user = developer
Verifiquemos que se haya agregado correctamente a kubeconfig:
kubectl config view
2.3. Cambiar al usuario creado
Ahora, en lugar de usar el contexto minikube, queremos usar dev-context:
$ kubectl config use-context developer-context
$ kubectl config current-context # comprueba el contexto actual
developer-context
Pero, ahora, el usuario developer no tiene privilegios de acceso al clúster. Debido a eso tendremos acceso denegado si intentamos crear algún recurso:
kubectl create namespace ns-test
Error from server (Forbidden): namespaces is forbidden: User "developer" cannot create resource "namespaces" in API group "" at the cluster scope
3. Conceder acceso al usuario
Para dar acceso a la administración de los recursos de k8s al usuario developer, necesitamos crear un Rol y un BindingRole.
3.1. Crear un role
Creemos un objeto Role en el archivo role.yaml. El Rol definirá a qué recursos se podría acceder y qué operaciones / verbos se podrían usar.
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
namespace: default
name: pod-reader
rules:
- apiGroups: [“”] # “” indicates the core API group
resources: [“pods”]
verbs: [“get”, “watch”, “list”]
Recursos: pod, deployment, namespace, secret, configmap, service, persistentvolume…
Verbos: get, list, watch, create, delete, update, edit, exec.
3.2. Crear un BindingRole
Queremos hacer coincidir el usuario developer con el rol creado anteriormente llamado: pod-reader. Para hacer eso, necesitamos usar RoleBinding.
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
name: read-pods
namespace: default
subjects:
- kind: User
name: developer # Name is case sensitive
apiGroup: rbac.authorization.k8s.io
roleRef:
kind: Role #this must be Role or ClusterRole
name: pod-reader # must match the name of the Role
apiGroup: rbac.authorization.k8s.io
Lo siguiente es implementar el role.yaml y role-binding.yaml en k8s en el contexto de minikube:
kubectl config use-context minikube
Switched to context "minikube".
kubectl apply -f role.yaml
role.rbac.authorization.k8s.io/pod-reader created
kubectl apply -f role-binding.yaml
rolebinding.rbac.authorization.k8s.io/read-pods created
Verifiquemos que Role and BindingRole se hayan creado correctamente:
kubectl get roles
NAME AGE
pod-reader 2m
kubectl get rolebindings
NAME AGE
read-pods 2m
Por cierto, utilizamos Role para abarcar las reglas a un solo namespace, pero también podemos usar ClusterRole para definir más de un espacio de nombres y cubrir el cluster. RoleBinding se usa para enlazar a Role y ClusterRoleBinding se usa para enlazar a ClusterRole.
4- Llegó la hora de probar las operaciones permitidas para el usuario
Vuelva a cambiar al contexto dev-context e intente una de las operaciones no permitidas como crear un espacio de nombres. Esto fallará porque el usuario developer no tiene permiso para hacerlo.
kubectl config use-context dev-context
kubectl create namespace ns-test # won't succeed, Forbidden
Pero, cuando intente una de las operaciones permitidas, como obtener los pods:
kubectl get pods # this will succeed !
Al final, hemos creado un usuario con acceso limitado a los recursos de k8s. El usuario developer se autenticará a través de su certificado y se le otorgará acceso a través de Role y RoleBinding.
Si deseas saber más sobre Kubernetes, te invito a seguir mi canal en youtube:
Facebook: https://www.facebook.com/falconcoach87
Twitter: https://twitter.com/gelopfalcon
Latest comments (0)