Kubernetes应用系统API用户认证与鉴权 -- 鉴权篇
上篇文章讲了通过LDAP和Dex实现两种不同的API用户认证的方式，用户认证是识别API请求的来源，让系统知道请求的访问者是谁。应用系统可以根据请求的身份，来判断该用户可以访问哪些API接口获得数据，这就是用户鉴权。下面我们一起来看一下，在Kubernetes平台上，如何通过RBAC来实现资源访问限制，同样我们还是通过Kubesphere的代码来学习。 鉴权实现的过程： 1，构建一个HandlerChain，HandlerChain中包含了：WithAuthentication, WithRequestInfo和WithAuthorization用户认证和鉴权的三个Filter以及WithAuditing Filter用于审计日志。Filter可以理解为web 框架的Middleware。 2，filters.WithAuthentication上篇文章介绍过，完成用户身份识别和分发Token，将用户信息写入Context。 3，filters.WithRequestInfo处理API请求信息，将请求信息保存到context中。请求信息包括：Path, Verb, APIPrefix, APIGroup, APIVersion, Namespace, Resource, Name这些RBAC鉴权需要用到的资源信息，以及客户端信息等。 4，filters.WithAuthorization根据RequestInfo和RBAC规则，判断请求的合法性，终止或者允许请求继续下去。 代码实现： 1，HandlerChain处理请求 这里可以看到有两个鉴权，一个是pathAuthorizer，一个是RBACAuthorizer，pathAuthorizer定义了哪些URL Path不需要鉴权，RBACAuthorizer顾名思义就是通过RBAC鉴权，后面我们详细介绍这两个鉴权。 var authorizers authorizer.Authorizer switch s.Config.AuthorizationOptions.Mode { case authorization.AlwaysAllow: authorizers = authorizerfactory.NewAlwaysAllowAuthorizer() case authorization.AlwaysDeny: authorizers = authorizerfactory.NewAlwaysDenyAuthorizer() default: fallthrough case authorization.RBAC: excludedPaths := []string{"/oauth/*", "/kapis/config.kubesphere.io/*", "/kapis/version", "/kapis/metrics"} pathAuthorizer, _ := path.NewAuthorizer(excludedPaths) amOperator := am.NewReadOnlyOperator(s.InformerFactory, s.DevopsClient) authorizers = unionauthorizer.New(pathAuthorizer, rbac.NewRBACAuthorizer(amOperator)) } handler = filters.WithAuthorization(handler, authorizers) handler = filters.WithAuthentication(handler, authn) handler = filters.WithRequestInfo(handler, requestInfoResolver) s.
