k8s在dashboard实现静态文件认证

Posted 2021-01-09 fyy-hhzzj

参考：  https://www.cnblogs.com/wayneiscoming/p/7715623.html   ，   https://jimmysong.io/kubernetes-handbook/guide/rbac.md  ，

    https://feisky.gitbooks.io/kubernetes/zh/plugins/authentication.html   ，  https://jimmysong.io/kubernetes-handbook/guide/rbac.html   ，https://jimmysong.io/posts/user-authentication-in-kubernetes/#%E9%9D%99%E6%80%81%E5%AF%86%E7%A0%81%E6%96%87%E4%BB%B6  ， https://mritd.me/2018/01/07/kubernetes-tls-bootstrapping-note/

配置kubernetes服务basic auth

　　

　　由于一些内部服务访问并不需要鉴权，如kubernetes-dashboard、traefik-ui，所以当我们想通过外网域名访问的时候会有安全问题。这里我们可以为服务配置basic auth，访问时需要验证，以下是配置过程：

 

1. 创建用户密码文件

　　这里我们使用htpasswd创建加密过的密码文件。

# htpasswd -bc basic-auth-secret username password

 

2. 创建Kubernetes Secret

# kubectl create secret generic basic-auth --from-file=basic-auth-secret --namespace=kube-system

 

3. 部署服务Ingress使其使用basic auth

　通过在Ingress中添加鉴权annotation实现服务basic auth。这里需要注意：

• Secret文件必须与Ingress规则在同一命名空间。
• 目前只支持basic authentication。
• Realm不可配置，默认使用traefik。
• Secret必须只包含一个文件。

apiVersion: v1
kind: Service
metadata:
  name: traefik-web-ui
  namespace: kube-system
spec:
  selector:
    k8s-app: traefik-ingress-lb
  ports:
  - port: 80
    targetPort: 8080
---
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: traefik-web-ui
  namespace: kube-system
  annotations:
    kubernetes.io/ingress.class: traefik
    ingress.kubernetes.io/auth-type: basic
    ingress.kubernetes.io/auth-secret: basic-auth
spec:
  rules:
  - host: traefik-ui.domain.com
    http:
      paths:
      - backend:
          serviceName: traefik-web-ui
          servicePort: 80