0

我的 Web 服务器后端强制执行客户端证书。在我将部署转移到 Kubernetes 集群之前，这非常有效。我的猜测是转发规则没有将证书请求从服务器传递到浏览器。

我正在使用uwsgi-nginx-flask-docker 容器。

我的 Nginx 配置如下：

server {
    listen 8000 ssl;
    location / {
        try_files $uri @app;
    }
    location @app {
        include uwsgi_params; uwsgi_param SSL_CLIENT_S_DN $ssl_client_s_dn;

        uwsgi_pass unix:///tmp/uwsgi.sock;
        uwsgi_read_timeout 300;

        ssl_certificate     /app/cert.pem;
        ssl_certificate_key /app/key.pem;
        ssl_password_file   /app/password.pass;

        ssl_client_certificate  /app/client-ca.crt;
        ssl_verify_client off;
        ssl_verify_depth 2;
    }
    location /static {
        alias /app/static;
    }
}

SSL_CLIENT_S_DN在本地容器上部署此服务器时，我flask.request.environ按预期进入。

在我的 Kubernetes 集群上，变量只是空的，浏览器上没有弹出证书需求。

我的服务和部署：

apiVersion: v1
kind: Service
metadata:
  name: my-server
spec:
  selector:
    app: my-server
  type: LoadBalancer
  loadBalancerIP: XX.XX.XXX.XXX
  ports:

  - protocol: TCP
    port: 8000
    targetPort: 8000

---

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-server
  labels:
    app: my-server
spec:
  replicas: 1
  strategy:
    type: RollingUpdate
  selector:
    matchLabels:
      app: my-server
  template:
    metadata:
      labels:
        app: my-server
    spec:
      restartPolicy: Always
      hostname: my-server
      containers:

      - name: my-server
        image: asia.gcr.io/my-project/my-server:latest
        imagePullPolicy: Always
        ports:
        - name: LISTEN_PORT
          value: "8000 ssl"
4

2 回答 2

1

Kubernetes 支持多种身份验证方式，它们是：X509、静态令牌文件、引导令牌、静态密码文件、服务帐户令牌和OpenID 连接令牌。

这是Frederic Branczyk的博客文章的链接，他解释了如何设置 X509 客户端证书。

他为所有 pod 和命名空间创建了一个ClusterRole只读权限：

apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRole
metadata:
  name: read-only-user
rules:
- apiGroups:
  - ""
  resources:
  - pods
  - namespaces
  verbs:
  - get
  - list
  - watch

然后授予用户这些权限ClusterRoleBinding

apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: read-only-users
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: read-only-user
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: brancz

上面ClusterRoleBinding给了名为“brancz”的用户在ClusterRole名为“read-only-user”中指定的角色</p>

您还可以查看他用于生成客户端证书的自动化脚本，使用集群的 CA 对其进行签名并生成kubeconfig.

我希望这可以帮助你。

于 2019-02-07T12:16:20.743 回答
0

我以为我有同样的问题，原来这只是我的 ca.crt 中的一个错误 我猜是错误的复制粘贴，检查以确保您的客户证书的签名者位于 ca.crt 链中，如果它不是 nginx 将静默失败.

于 2019-03-07T19:57:09.253 回答