Настройка доступа к консоли Nova с использованием LDAP
В данном разделе описана процедура использования провайдера идентификации в StarVault по протоколу LDAP для доступа к авторизованным приложениям на примере Nova.
1. Необходимые условия
-
У вас есть токен доступа к хранилищу секретов StarVault с привилегиями root.
-
У вас есть доступ к кластеру с учетной записью, имеющей роль cluster-admin в Kubernetes.
-
Провайдер идентификации LDAP подключен в StarVault.
-
Вы ознакомились со статьей Настройка авторизации LDAP.
2. Настройка доступа в StarVault
-
В веб-интерфейсе StarVault выберите вкладку Доступ → Группы.
-
Создайте группу и присвойте ей псевдоним.
-
Нажмите Cоздать группу.
-
В поле Название укажите имя группы так же, как группа названа в каталоге LDAP-сервера.
-
В поле Тип укажите параметр внешний.
-
Нажмите Создать, чтобы создать группу.
-
-
Нажмите Add alias.
-
В поле Название укажите имя псевдонима такое же, как в каталоге LDAP-сервера.
-
В поле Бэкенд аутентификации выберите имя метода аутентификации LDAP.
-
Нажмите Создать.
-
Для удобства и простоты администрирования рекомендуется использовать один псевдоним на одну сущность StarVault.
-
-
В веб-интерфейсе StarVault перейдите на вкладку Доступ → OIDC Провайдер → Назначения.
-
Нажмите Создать назначение
-
В поле Название укажите любое имя, например название приложения, к которому предоставляется доступ.
-
В поле Группы выберите группу, созданную ранее.
-
Нажмите Создать.
-
-
Перейдите на вкладку Доступ → OIDC Провайдер → Приложения.
-
Выберите приложение
oidc-kubernetes-client. -
Нажмите Изменить.
-
В поле Имя приложения выберите ранее созданный Assignment.
-
Нажмите Обновить.
-
-
-
Перейдите на вкладку Доступ → OIDC Провайдер → Области применения.
-
Нажмите Изменить у параметра
email. -
Измените значение на
{ "email": {{identity.entity.name}} }. -
Нажмите Update.
-
3. Настройка доступа в Nova Container Platform
-
В веб-интерфейсе Nova Container Platform создайте ClusterRole. Для этого нажмите + в правом верхнем углу интерфейса и добавьте манифест.
Пример ClusterRole
apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: support rules: - verbs: - '*' apiGroups: - '*' resources: - '*' - verbs: - '*' nonResourceURLs: - '*' -
Аналогично предыдущему шагу в веб-интерфейсе Nova Container Platform создайте ClusterRoleBinding.
kind: ClusterRoleBinding apiVersion: rbac.authorization.k8s.io/v1 metadata: name: support-binding subjects: - kind: Group apiGroup: rbac.authorization.k8s.io name: Administrators (1) roleRef: apiGroup: rbac.authorization.k8s.io kind: ClusterRole name: support (2)
| 1 | Имя группы, созданной в StarVault.
|
||
| 2 | Имя созданной ранее роли. Вы также можете выбрать уже существующую роль, если она подходит под ваши требования. |