将 Kubernetes 连接到 AD答案

【问题标题】：Connect Kubernetes to AD将 Kubernetes 连接到 AD
【发布时间】：2019-09-23 21:14:55
【问题描述】：

我创建了一个 Kubernetes 集群，我希望使用 LDAP 将它连接到我的 Active Directory，所以它的行为如下：

任何想要运行kubectl 的人都必须先进行身份验证（并且该身份验证将针对我的 AD）。最好是单点登录 (SSO)，这意味着身份验证应该每隔一段时间（会话）发生一次。

但是，我在 Kubernetes 官方文档中没有找到类似的内容，所以我想知道有哪些可能的建议？

【问题讨论】：

【解决方案1】：

首先，还没有简单的方法来实现这一点。一种方法是实现如下。

第一部分是安装DEX。

Dex 是由 CoreOS 完成的 OpenID Connect 提供程序。 Dex 可以将身份验证推迟到 LDAP 服务器。

第二部分是安装和配置gangway

它是由 Hepito 与 OIDC 提供者对话的，它是 Dex，它有一个 UI 来配置 kubectl（通过下载 kubeconfig）

对于 SSO Joel Speed 表单 Pusher 写了一个很棒的 article 它也使用 dex，但 UI 是自定义的。

希望有帮助

【讨论】：

你能详细说明我需要安装什么 DEX 吗？
你必须安装 dex github.com/dexidp/dex/blob/master/Documentation/kubernetes.md 然后添加 ldap 插件 github.com/dexidp/dex/blob/master/Documentation/connectors/…。您必须在 kub api server 中添加 OIDC 并重新启动 api server 并检查 token 是否正常工作，然后您可以安装连接到 dex 的 gangway。

【解决方案2】：

Kubernetes and Active Directory with Canonical

1 如果您熟悉 Canonical 的自动化系统 juju，那么您对 CDK 的部署过程就很熟悉了。

2 CDK 不仅会部署 Kubernetes，还会部署您的主机。

3 除了主机和 Kubernetes，CDK 还会安装 NGINX 入口控制器，可以部署 Helm、Prometheus 和其他流行的插件。

要将 OpenUnison 与您的 Active Directory 集成，您需要做一些事情：

1 Active Directory 域控制器的 IP 地址或 DNS 主机名

2 您的域的证书

3 只读服务帐号

【讨论】：