kubernetes - 使用 mod_auth_openidc session SSO 到 kubernetes

Question

我想使用已经存在的 openid 连接 session (带有 mod_auth_openidc + WSO2 身份服务器的 apache 反向代理)访问 kubernetes 仪表板和 API。不幸的是，kubernetes 需要一个 id_token 作为不记名 token (签名的 JWT)，仅通过 mod_auth_openidc 模块的 session cookie 很难获得。

我的问题如下:当我调用配置了 id_token 的 OIDCInfoHook(反向代理 callback_url 像 http://service.domain?json=info )时，我只得到了未签名的 id_token token ，这对于 kubernetes 身份验证没有用处。使用配置的刷新 token 调用信息 Hook ，我可以成功检索刷新 token 。使用此 token ，身份服务器 (WSO2) 返回 id_token、一个新的访问 token 和下一个刷新 token 。不幸的是， mod_auth_openidc 仍然有旧的 access_token ，我需要将新的 id_token 映射到新旧访问 token 。虽然它在重新登录后工作，但在 session 超时(3600 秒)后选择 id_token 不再工作。在这种状态下，我必须手动删除 session cookie 以获得新的登录提示。

我有两个问题:

是否有任何其他可能将 oidc 身份验证与不依赖于 id_token 的 kubernetes 一起使用，即使用规范中描述的 openid 连接流之一？根据 openid 连接规范，id_token 不应该被发送，我猜这种方法似乎不是 openid 连接流程之一。

是否有任何其他最佳实践方法可以将 kubernetes 集成到现有的基于 openid 连接的单点登录环境中？

Answer 1

此类问题常见的 SSO 解决方案是使用 Kubernetes OAuth2-Proxy，https://github.com/pusher/oauth2_proxy .您可以在入口或边车容器中运行代理。如果您有 istio，您还可以将 Istio 与您的 openid conenect 提供程序集成。