用oauth2-proxy和Github保护istio服务

在AWS EKS用上了istio后，部署服务很方便，但是我发现不少应用没有自带账号验证机制（比如jaeger），而很多数据信息比较敏感，那怎么办呢？Keycloak又太复杂了，这就想到了Github账号机制来管理，那要是能整合到istio里就太好了~说干就干

首先配置Github的应用App (官方文档)，记好Client ID 和 Client secret，等回会用到。

配置好应用的oauth2 callback地址，比如 https://example.com/oauth2，等下istio需要配置对应的service。接着就是安装和配置oauth2-proxy（helm）

configuration:
  clientID: "xxxxx" #刚才的Github Client ID 
  clientSecret: "xxxxxxxxxxxxxxxxx" # 刚才的Github Client Secret
  ## 用这个命令生成一段随机的secret 
  ## openssl rand -base64 32 | head -c 32 | base64
  cookieSecret: "xxxxxxxxxxxxxxxxxxxxxxxx="
extraArgs:
  [
    "--provider=github", # provider 我们选github
    "--github-org=example", # 组织填入自己的组织名，还有其他验证范围可选，具体可以看文档
    "--scope=user:email", # 这个是oauth-proxy的bug……不加上会不停的重定向
    "--upstream=static://200", # 也是不加上就不停重定向的bug
    "--pass-authorization-header=true",
    "--pass-user-headers=true"
  ]

github-org这个配置可以改成你需要的验证方式，具体可以看oauth2-proxy官方文档（链接）。回到我们的istio配置上，给整个istio添加自定义的extensionProvider，让Github 的 AuthorizationPolicy能跑通。有点懵了是吧，我画了张不太准确的图帮助理解

kubectl edit configmap -n istio-system istio 编辑istio的配置，最后大概长这样，注意里面的注释说明

apiVersion: v1
data:
  mesh: |-
    defaultConfig:
      discoveryAddress: istiod.istio-system.svc:11111
      proxyMetadata: {}
    enablePrometheusMerge: true
    rootNamespace: istio-system
    trustDomain: cluster.local
    # 上面的都是原来的配置，不要改，关键是下面这个
    extensionProviders:
    - name: "gh-example-oauth2" # 要记得这个名字，等会儿会用到
      envoyExtAuthzHttp:
        # 这里要指向你自己的oauth2-proxy安装的service，我这里是放在oauth2-proxy这个namespace下
        service: "gh-oauth2-proxy.oauth2-proxy.svc.cluster.local"
        port: "80" # 这个是helm安装的默认端口（kubeapp也是）
        includeRequestHeadersInCheck: ["authorization", "cookie"] # 这三个必须和我的一样
        headersToUpstreamOnAllow: ["authorization", "path", "X-Auth-Request-User", "X-Auth-Request-Email", "X-Auth-Request-Access-Token"]
        headersToDownstreamOnDeny: ["content-type", "set-cookie"]

然后再配置istion的virtual service，让服务整个跑起来，同样注意我里面的注释，官方的文档写得太文绉绉，喜欢的也可以去读一下（链接）

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: example-vs
  namespace: example-ns #应用自己的namespace
spec:
  hosts:
  - "jaeger.example.com"
  gateways:
  - example-gw # 之前安装istio时的gateway
  http:
  - match: # 这里保持和github里的一致
    - uri:
        prefix: /oauth2
    route:
    - destination:
        host: gh-oauth2-proxy.oauth2-proxy.svc.cluster.local # oauth2的安装svc地址
        port:
          number: 80
  - match:
    - uri:
        prefix: /
    route:
    - destination:
        host: jaeger.app.svc.cluster.local # jaeger的svc地址
        port:
          number: 8080
---
apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: jaeger-github-oauth2
  namespace: example-ns
spec:
  selector:
    matchLabels:
      app.kubernetes.io/component: query #重要！不要填错了，匹配不上不会生效的
      app.kubernetes.io/name: jaeger
  action: CUSTOM
  provider:
    name: "gh-example-oauth2" # 跟istio配置里的extensionProviders保持一致
  rules:
  - to:
    - operation:
        # 注意是精确匹配的！！要加通配符才能前缀匹配
        paths: [ "/*"]

kubectl apply之后，重启istio，访问你的应用，看到这个就成功啦~

参考： https://medium.com/@lucario/istio-external-oidc-authentication-with-oauth2-proxy-5de7cd00ef04

用oauth2-proxy和Github保护istio服务

Leave a Reply Cancel reply