oauth-2.0 - 是否有在 Kubernetes 集群上提供 OAUTH2 安全性的最佳实践标准？

Question

我开始试验 Kubernetes 集群的 Oauth2 授权。

我找到了一个使用UAA的优秀 Oauth2 身份提供者

我的初衷是将其部署到 Kubernetes 集群中，然后允许它在该集群上提供身份验证。这将提供托管在云中的单点登录解决方案，并使该解决方案能够管理 Kubernetes 访问以及对在我的集群上运行的应用程序的访问。

然而，在考虑这个解决方案时，似乎有一些边缘情况，这种配置可能是灾难性的。例如，如果我的集群停止，那么我认为我将无法重新启动该集群，因为 Oauth2 提供程序将不会运行，因此我无法通过身份验证来执行任何重新启动操作。

• 有没有其他人遇到过这个难题？
• 这是真正的风险吗？
• 是否有规避此问题的“标准”方法？

非常感谢您花时间阅读本文！

标签： oauth-2.0kubernetes

Answer 1

UAA 的使用包括两个 2 过程——身份验证和授权——后者允许在集群内执行某些操作。它们通过 kubectl 命令行工具使用。

可以使用2 个现有的授权模块（ABAC和RBAC）。在这里，您可以找到这两个选项的并排比较，其中作者支持 RBAC 模式，因为它“不需要在每次更新策略文件时都重新启动 API 服务器”。

如果我理解你的问题，这篇文章可能会有所帮助。