spring-boot - 如何使用 Kubernetes Ingress 执行自定义身份验证

问题描述

我在 kubernetes 中部署了一些服务，并使用 NGINX 入口访问外部。（使用 EC2 实例进行所有集群设置）。能够通过与入口绑定的主机访问服务。现在，我没有直接访问 svc，而是尝试在访问服务之前添加身份验证。并重定向到登录页面，用户输入凭据并应重定向到所询问的页面。到目前为止，以下代码片段 II 已尝试。请指导寻找解决方案。

我的入口.yml

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: my-ingress
  namespace: mynamespace  
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
    nginx.ingress.kubernetes.io/affinity: cookie
    nginx.ingress.kubernetes.io/session-cookie-name: JSESSIONID
    nginx.ingress.kubernetes.io/ssl-passthrough: "false"
    nginx.ingress.kubernetes.io/ssl-redirect: "true"
    nginx.ingress.kubernetes.io/force-ssl-redirect: "true"
    kubernetes.io/ingress.class: "nginx"
    kubernetes.io/ingress.allow-http: "false"
    nginx.ingress.kubernetes.io/auth-signin: "https://auth.mysite.domain/api/auth/login"  #will show login page
    nginx.ingress.kubernetes.io/auth-url: "https://auth.mysite.domain/api/auth/token/validate"
    nginx.ingress.kubernetes.io/auth-response-headers: "authorization"    
    
spec:
  tls:
  - hosts: 
    - mysite.domain
    #secretName: ${TLS_TOKEN_NAME}
  rules:
  - host: a.mysite.domain
    http:
      paths:
        - path: /
          backend:
            serviceName: myservice1
            servicePort: 9090

所以首先它会调用“/token/validate”并获得未经授权然后进入“auth/login”，登录页面将在输入凭据后显示进入“/token/validate”并再次登录页面。实际上应该重定向到被调用的页面。

如何实现这一点？[如果在成功验证后，如果我们可以在调用的 ling 中添加标头，我认为可以解决但不知道如何解决]

后端：Java Spring

@RequestMapping("login")  
public String login() {  
    return "login.html";  
}

    <form action="validate-user" method="post" enctype="application/x-www-form-urlencoded">  
        <label for="username">Username</label>  
        <input type="text" id="username" value="admin" name="username" autofocus="autofocus" />  <br>
        <label for="password">Password</label>  
        <input type="password" id="password" value="password" name="password" />  <br>
        
        <input id="submit" type="submit" value="Log in" />  
    </form>

后端：Java Spring

@PostMapping("validate-user")
@ResponseBody
public ResponseEntity<?> validateUser(HttpServletRequest request, HttpServletResponse response) throws Exception {
                ...
                
    HttpStatus httpStatus=HttpStatus.FOUND;
    //calling authentication api and validating
        
    //else
    httpStatus=HttpStatus.UNAUTHORIZED;
    HttpHeaders responseHeaders= new HttpHeaders();
    responseHeaders.set("Authoriztion", token);
                
    //responseHeaders.setLocation(new URI("https://a.mysite.domain")); ALSO TRIED BUT NOT WORKED
    return new ResponseEntity<>(responseHeaders,httpStatus);        
        
        }

UPDATE1：我正在使用我自己的自定义身份验证 api，如果我使用来自邮递员的自定义标头“授权”：“承载令牌”点击 url，那么响应是可以的，但来自浏览器是不可能的，所以只能来自上游 svc（成功后登录）标题应包含在重定向页面中，我们该怎么做？
我缺少任何注释吗？

UPDATE2：在成功验证后重定向时，我将令牌作为查询字符串传递，responseHeaders.setLocation(new URI("https://a.mysite.domain/?access_token="+token)并且在重定向后将其验证。成功验证后转到下游 svc [预期]。但是，当该 svc 正在路由时，a.mysite.domain/route1查询字符串就消失了，因此 auth svc 无法401再次获取令牌。应该是这样的a.mysite.domain/route1/?access_token=token。有什么办法可以做到吗？如果每条路线都有相同的查询字符串，那么将起作用。[这是我的 PLAN-B ...但仍然 passwing 令牌是标题是我的优先事项]

UPDATE3：我尝试使用如下注释：

nginx.ingress.kubernetes.io/auth-signin: 'https://auth.example.com/api/auth-service-ui/login'
nginx.ingress.kubernetes.io/auth-response-headers: 'UserID, Authorization, authorization'
nginx.ingress.kubernetes.io/auth-snippet: |
      auth_request_set $token $upstream_http_authorization;
      proxy_set_header Foo-Header1 $token; //not showing as request header AND this value only need LOOKS $token val is missed
      proxy_set_header Foo-Header headerfoo1; //showing as request header OK
      more_set_input_headers  'Authorization: $token';//not showing as request header AND this value only need LOOKS $token val is missed

nginx.ingress.kubernetes.io/configuration-snippet: |
      auth_request_set $token1 $upstream_http_authorization;
      add_header  authorization2 QQQAAQ1; //showing as response header OK no use
      add_header  authorization $token; //showing as response header OK how to send as request header on next call
      more_set_input_headers  'Authorization11: uuu1';//showing as request header in next call
      more_set_input_headers  'Authorization: $token1';//not showing as request header and need this val ONLY

**我错过了什么注释？

UPDATE4 PLAN-C：现在尝试将 jwt 令牌存储在 cookie 中。

 nginx.ingress.kubernetes.io/configuration-snippet: |
      auth_request_set $token5 $upstream_http_authorization;    
      add_header Set-Cookie "JWT_TOKEN=$token5";

在每个请求中都设置了相同的 cookie，但在浏览器中每次都存储它。即多个相同的cookie。如何只设置一次？

标签： spring-bootkubernetesoauthkubernetes-ingressnginx-ingress

解决方案

迈向您的PLAN-B：

在标头中传递令牌是我的首要任务。

仅使用以下注释，我认为这样做没有任何问题：

nginx.ingress.kubernetes.io/auth-url: "https://auth.mysite.domain/api/auth/token/validate"
nginx.ingress.kubernetes.io/auth-response-headers: "authorization

跟进官方的external-auth-headers示例：

修改他们的external-auth-service 的源代码，使其引入成功的身份验证。响应所需的标头 ( "Authorization": "Bearer <token>")：

   w.Header().Add("UserRole", "admin")
        w.Header().Add("Other", "not used")
        w.Header().Add("Authorization", "Bearer foobar" ) <--- here
        fmt.Fprint(w, "ok")

在 Deployment 中重建 docker 镜像并更新 Pod 规范以应用您的自定义镜像

确保您的 Ingress 定义看起来相似：

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  annotations:
    nginx.ingress.kubernetes.io/auth-response-headers: UserID, authorization
    nginx.ingress.kubernetes.io/auth-url: http://demo-auth- 
service.default.svc.cluster.local?code=200

检查是否将 auth-service 自定义标头注入到对其后端的 Ingress 调用（我正在使用httpbin.org/headers的集群部署版本）
从客户端和 Ingress 的后端角度看到的请求内容：

客户要求：

     > GET /headers HTTP/1.1
     > Host: custom.example.com
     > User-Agent: curl/7.58.0
     > Accept: */*
     > User: centrino
     > 
     < HTTP/1.1 200 OK
     < Server: nginx/1.17.8
     < Date: Tue, 14 Jul 2020 11:55:43 GMT
     < Content-Type: application/json
     < Content-Length: 327
     < Connection: keep-alive
     < Vary: Accept-Encoding
     < Access-Control-Allow-Origin: *
     < Access-Control-Allow-Credentials: true
     <

在后端看到的客户端请求丰富了 ext-auth-svc 标头：

     {
      "headers": {
        "Accept": "*/*", 
        "Authorization": "Bearer foobar", <---is this what you are looking for ?
        "Host": "custom.example.com", 
        "User": "centrino", 
        "User-Agent": "curl/7.58.0", 
        "Userid": "8674665223082153551", 
        "X-Forwarded-Host": "custom.example.com", 
        "X-Scheme": "http", 
        "X-Using-Nginx-Controller": "true"
      }
    }

spring-boot - 如何使用 Kubernetes Ingress 执行自定义身份验证

问题描述

解决方案

推荐阅读