Настройка регистрации и управления доступом

Открыть в браузере веб-интерфейс StarVault и авторизоваться, используя учетную запись с правом создания пользователей (по умолчанию это только root-токен).

Перейти на вкладку Policies и нажать Create ACL policy +.

В поле Name указать понятное имя политики, например pwd_change.

В поле Policy добавить следующее:

path "sys/auth" { capabilities = ["read", "list"]}
path "auth/userpass/users" { capabilities = ["read", "list"]}
path "auth/userpass/users/{{identity.entity.aliases.<userpass_accessor>.name}}" {
capabilities = ["read", "update"]
}

Замените часть <userpass_accessor> на свойство Accessor, которое можно найти по пути Access → Auth Methods → userpass/.

В случае, если необходимо создать нового пользователя перейдите к Access → Auth Methods → userpass/ и нажмите Creatt user +.

Создайте сущность пользователя. Перейдите в раздел Entities и нажмите Create entity.

В открывшемся окне задайте имя (как в п.5) и нажмите Create.

Свяжите сущность пользователя с методом аутентификации. На открывшейся странице созданной Entity нажмите Add alias + в правом верхнем углу.

Создайте группу, которой будут выдаваться права (можно выдать права напрямую пользователю, но корректнее делать это с помощью групп). Перейдите на вкладку Groups и нажмите Create group +.

Свяжите созданного пользователя с OIDC провайдером. Для этого перейдите в раздел OIDC Provider → Assignment и нажмите Create Assignment +.

Свяжите созданный Assignment с OIDC-клиентами. Для этого перейдите в раздел OIDC Provider → Applications и выберите oidc-kubernetes-client.

Зайдите в Nova Console и создайте пространство имен с именем test.Перейдите на вкладку Home → Namespaces и нажмите на Создать Namespace.

Создать роль в новом пространстве имен с правами на просмотр, создание и удаление подов. Роль можно создать с помощью манифеста, нажав в правом верхнем углу консоли на +.

Авторизируйтесь в StarVault с новым пользователем и поменяйте пароль своему аккаунту. Access → Auth Methods → userpass → нажмите на пользователя testuser.

Проверьте, что можете зайти с новым паролем в Nova Console.

Зайдите в StarVault с новым пользователем и проверьте, что не можете поменять пароль другим пользователям. Access → Auth Methods → userpass → выберете любого пользователя и убедитесь, что нет прав на просмотр и редактирование.

Откройте в браузере веб-интерфейс StarVault и авторизуйтесь, используя учетную запись с правом создания пользователей (по умолчанию это только root-токен).

Создайте пару логин`пароль` для авторизации пользователя. Перейдите на вкладку Access в раздел Auth Methods в метод userpass и нажмите Create User +.

Создайте сущность пользователя. Перейдите в раздел Entities и нажмите Create entity +.

Свяжите сущность пользователя с парой логин`пароль`. На открывшейся странице созданной Entity нажмите Add alias + в правом верхнем углу.

Создайте группу, в которой будут выдаваться права (можно выдать права напрямую пользователю, но корректнее делать это с помощью групп). Перейдите на вкладку Groups и нажмите Create group +.

Свяжите созданного пользователя с OIDC провайдером. Для этого перейдите в раздел OIDC Provider → Assignment и нажмите Create Assignment +.

Свяжите Assignment с OIDC-клиентами. Для этого перейдите в раздел OIDC Provider → Applications.

Для доступа в Neuvector у псевдонима пользователя в атрибуте custom_metadata должно был ключ-значение с почтовым адресом. Этот атрибут можно добавить только через командную строку. Открыть командную строку можно двумя способами:

Для работы в веб-консоли выполните следующие действия:

Пользователи могут аутентифицироваться в указанных в предыдущем пункте приложениях используя учетные данные пользователя из п.2. Стоит учитывать, что на данном этапе была настроена только аутентификация, выдача прав доступа настраивается для каждого компонента отдельно.

Откройте в браузере веб-интерфейс StarVault и авторизуйтесь. Используя учетную запись с правом создания пользователей (по умолчанию это только root-токен).

Перейдите на вкладку Policies и нажмите на Create ACL policy +.

Укажите имя и политику доступа:

path "sys/auth" { capabilities = ["read", "list"]}
       path "auth/userpass/users/*" {
         capabilities = ["create", "update", "delete", "read", "list"]
       }
       path "identity/entity/*" {
         capabilities = ["create", "update", "delete", "read", "list"]
       }
       path "identity/entity" {
         capabilities = ["create", "update", "delete", "read", "list"]
       }
       path "identity/entity-alias/*" {
         capabilities = ["create", "update", "delete", "read", "list"]
       }
       path "identity/entity-alias" {
         capabilities = ["create", "update", "delete", "read", "list"]
       }
       path "identity/group" {
         capabilities = ["read", "list"]
       }
       path "identity/group/*" {
         capabilities = ["update", "read", "list"]
       }

Перейдите на вкладку Access → Groups и нажмите на Create group +.

Укажите имя группы, новую политику и пользователей.

Зайдите в консоль Neuvector используя стандартный логин - kubeadmin.

Настройте нестандартную роль. Перейдите на вкладку Settings → Users, API Keys & Roles → Roles → нажмите Add → выбирите Modify доступ для Admission Control.

Соотнесите новую роль и группу, что была создана в StarVault. Для этого перейдите на вкладку Settings → OpenID Connect Settings → внизу страницы нажмите на + (если навести курсор, то высветится Add Group Role Map).

Укажите имя группы security_admins, выберите созданную роль, соответствующий Namespace из предложенных вариантов и нажмите Add и затем Submit.

Зайдите в консоль Opensearch используя стандартный логин - kubeadmin.

В Opensearch уже есть преднастроенные роли и группы доступа, которые можно сразу использовать, однако мы создадим свои.

Перейдите на вкладку Management → Security → Permissions.

Создайте свою группу доступа. Нажмите на Create action group → Create from blank → укажите имя группы и доступы:

Перейдите на вкладку Management → Security → Roles.

Нажмите на Create Role и укажите созданную группу прав в полях Cluster permissions и Index permissions. Учтите, что в поле Index выбираются индексы к которым будет предоставлен доступ. Поставьте знак *, чтобы предоставить доступ ко всем индексам.

После создания роли - зайдите в неё, перейдите на вкладку Mapped users и нажмите Manage mapping.

Добавьте имя группы из StarVault в блок Backend roles.

Зайдите в Opensearch с учётной записью security_admin1.

Перейдите на вкладку Management → Index Management → Indexes. Убедитесь, что системные индексы отображаются.

Перейдите на вкладку OpenSearch Plugins → Query Workbench. Убедитесь, что выбраны SQL запросы и выполните скрипт:

select * from nova-k8s-audit-apiserver-*
order by stageTimestamp desc

Убедитесь, что отобразились логи индексов nova-k8s-audit-apiserver.