Kubernetes OIDC：没有有效的组映射

Question

我的问题是我可以通过OIDC登录我的仪表板，但是没有正确映射oidc组信息，我无法访问相应的资源。

基本设置

• K8s 版本：1.19.0
• K8s 设置：1 个主节点 + 2 个工作节点
• 基于 Debian 10 虚拟机
• CNI：印花布
• Louketo Proxy 作为 OIDC 代理
• OIDC：Keycloak 服务器（Keycloak X [Quarkus]）

配置

我已经用这些参数配置了 K8s apiserver。

kube-apiserver.yaml

- --oidc-issuer-url=https://test.test.com/auth/realms/Test
- --oidc-client-id=test
- --oidc-username-claim=preferred_username
- --oidc-username-prefix="oidc:"
- --oidc-groups-claim=groups
- --oidc-groups-prefix="oidc:"

集群角色绑定

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
name: "test-cluster-admin"
roleRef:
apiGroup: rbac.authorization.k8s.io
kind: ClusterRole
name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: "Test"

我使用了以下louketo参数

Louketo 代理

/usr/bin/louketo-proxy --discovery-url=$OIDC_DISCOVERY_URL --client-id=$OIDC_CLIENT_ID --client-secret=$OIDC_CLIENT_SECRET  -listen=$OIDC_LISTEN_URL --encryption-key=$OIDC_ENCRYPTION_KEY --redirection-url=$OIDC_REDIRECTION_KEY --enable-refresh-tokens=true --upstream-url=$OIDC_UPSTREAM_URL --enable-metrics

我在仪表板中收到以下错误消息。 K8s 错误

replicasets.apps is forbidden: User "\"oidc:\"<user_name>" cannot list resource "replicasets" in API group "apps" in the namespace "default"

希望你能帮我解决这个问题，我已经尝试了网上的大部分手册，但还没有找到解决方案。

PS：我已经在Keycloak服务器中做了相应的组映射，也验证了组条目已经转移。

Answer 1

如果您面临与我相同的挑战，并且希望将 Keycloak 集成到您的 K8s 集群中，请共享仪表板并将其连接到 Keycloak，您可以在下面找到我的配置。在我的集群中，我使用 Louketo 代理作为 Kubernetes 和 Keycloak 之间的接口。部署的对应配置不在本帖中。

钥匙斗篷

我想从 Keycloak 的配置开始。在第一步中，我创建了一个具有以下设置的相应客户端。

之后，我创建了两个组成员和受众（louketo 代理需要）映射器。

映射器的确切设置可以从两个图像中获取。

组成员映射

受众映射

Kubernetes

在第二步中，我必须更新 api 服务器清单并在 Kubernetes 集群中创建 RoleBinding 和 ClusterRoleBinding。

Api 服务器清单 (default path: /etc/kubernetes/manifests/kube-apiserver.yaml)

- --oidc-issuer-url=https://test.test.com/auth/realms/Test
- --oidc-client-id=test
- --oidc-username-claim=preferred_username
- --oidc-username-prefix="oidc:"
- --oidc-groups-claim=groups
- --oidc-groups-prefix="oidc:"

角色绑定

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: "test"
namespace: "kubernetes-dashboard"
subjects:
- kind: User
  name: "\"oidc:\"Test"
  namespace: "kube-system"
roleRef:
apiGroup: rbac.authorization.k8s.io
kind: ClusterRole
name: cluster-admin

ClusterRoleBinding

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
name: "test"
roleRef:
apiGroup: rbac.authorization.k8s.io
kind: ClusterRole
name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: "\"oidc:\"Test"

@Community 我希望我可以帮助您进行此配置。如果您有任何问题，请随时问我。

Answer 2

这是一个社区 wiki 答案，旨在从 Kubernetes 方面解决问题。任何熟悉可能的 Keycloak 组/角色映射解决方案的人都可以随意编辑它。

您看到的错误意味着 OIDC 的服务帐户没有适当的权限在默认命名空间中列出 replicasets。最简单的方法是从头开始设置ServiceAccount、ClusterRole 和ClusterRoleBinding，并确保它具有适当的权限。例如，您可以创建一个具有“admin”权限的clusterrolebinding by executing：

kubectl create clusterrolebinding OIDCrolebinding - -clusterrole=admin - - group=system:serviceaccounts:OIDC

can be done 与 ClusterRole 相同：

kubectl create clusterrole OIDC --verb=get,list,watch --resource=replicasets --namespace=default

更多关于如何在此场景中使用kubectl create 的示例可以找到here。

Here您可以找到有关 RBAC 授权的完整官方指南。

编辑：

另外，请检查ClusterRoleBinding 的"\"oidc:\"<user_name>" 是否在"default" 命名空间中。