OAuth2-basierte Authentifizierung auf Kubernetes-Clustern, die von Istio betrieben werden

• WebAssembly-Module bieten integrierte Filter, die "Basic Auth" implementieren. Wenn Sie in der Konfiguration einen Benutzernamen und ein Passwort angeben, werden diese bei der Abfrage der auf Istio installierten Dienste verwendet. Allerdings wird Ihre Konfiguration dadurch in Git nicht mehr versionierbar (Sie würden ja auch keine Passwörter im Repo speichern, oder?)
• Eine OpenID Connect-Implementierung wie Dex(die von Kubeflow verwendet wird) leitet unberechtigte Benutzer auf ein schönes Anmeldeformular mit mehreren Anmeldeoptionen um: Benutzername+Passwort, LDAP, OAuth2 und mehr. Aber es fehlt das Kontrollkästchen "Remember me", so dass es nicht sehr benutzerfreundlich ist. Kubeflow verwendet einen zusätzlichen Authentifizierungsdienst, nur um Sitzungen zu ermöglichen. Moment, zwei separate Dienste, nur um die Authentifizierung zu ermöglichen? Das ist zu umständlich.
• oauth2-proxy ist eine wirklich gute Lösung, insbesondere mit dem großartigen Quickstart von Luke Addison. Istio verfügt über einen Filter, um authentifizierungsbezogene Teilströme an den externen Dienst zu delegieren. In diesem Fall ist der Dienst oauth2-proxy, der nicht authentifizierte Clients an den OAuth2 Upstream (wie Google, Facebook oder Github) weiterleitet. Dort authentifizieren Sie sich (oder auch nicht, wenn Sie es vorher getan haben) und dann tauscht die Komponente den Code gegen Ihr Zugriffstoken aus, das nicht nur beweist, dass Sie authentifiziert sind, sondern auch einige grundlegende Informationen wie Name, E-Mail oder Foto-URL enthält (Istio kann diese als Header an Ihren Dienst weitergeben!). Aber diese Methode erfordert eine separate Komponente, nur um einen http-Aufruf (für ein Token) zu tätigen. Es muss einen einfacheren Weg geben!
• Es gibt sie. Ab Envoy 1.16.0 (Istio >= 1.8) gibt es einen neuen Filter namens OAuth2. Er führt eine Token-Anfrage durch (genau wie oauth2-proxy), aber er macht sie intern (direkt von der Envoy-Komponente), so dass kein zusätzliches Tooling erforderlich ist. Diese Funktion ist ziemlich neu und es gibt nicht viele Anleitungen, wie man sie auf dem Istio-Cluster einsetzt. Lassen Sie uns also zur Sache kommen!

• BearerToken - mit einem Token-Wert,
• OauthExpires - ein Zeitstempel, der das Auslaufen des Tokens anzeigt,
• OauthHMAC - ein Fingerabdruck der oben genannten, um eine Manipulation der Cookies zu verhindern.

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: oauth2-ingress
  namespace: istio-system
spec:
  workloadSelector:
    labels:
      istio: ingressgateway
  configPatches:
  - applyTo: CLUSTER
    match:
      cluster:
        service: oauth
    patch:
      operation: ADD
      value:
        name: oauth
        dns_lookup_family: V4_ONLY
        type: LOGICAL_DNS
        connect_timeout: 10s
        lb_policy: ROUND_ROBIN
        transport_socket:
          name: envoy.transport_sockets.tls
          typed_config:
            "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
            sni: oauth2.googleapis.com
        load_assignment:
          cluster_name: oauth
          endpoints:
          - lb_endpoints:
            - endpoint:
                address:
                  socket_address:
                    address: oauth2.googleapis.com
                    port_value: 443
  - applyTo: HTTP_FILTER
    match:
      context: GATEWAY
      listener:
        filterChain:
          filter:
            name: "envoy.http_connection_manager"
            subFilter:
              name: "envoy.filters.http.jwt_authn"
    patch:
      operation: INSERT_BEFORE
      value:
       name: envoy.filters.http.oauth2
       typed_config:
         "@type": type.googleapis.com/envoy.extensions.filters.http.oauth2.v3alpha.OAuth2
         config:
          token_endpoint:
            cluster: oauth
            uri: https://oauth2.googleapis.com/token
            timeout: 3s
          authorization_endpoint: https://accounts.google.com/o/oauth2/v2/auth
          redirect_uri: "https://%REQ(:authority)%/_oauth2_callback"
          redirect_path_matcher:
            path:
              exact: /_oauth2_callback
          signout_path:
            path:
              exact: /signout
          credentials:
            client_id: myclientid.apps.googleusercontent.com
            token_secret:
              name: token
              sds_config:
                path: "/etc/istio/config/token-secret.yaml"
            hmac_secret:
              name: hmac
              sds_config:
                path: "/etc/istio/config/hmac-secret.yaml"

• client_id - dies ist die öffentliche ID Ihres OAuth2-Anbieters, die für die Umleitung des Autorisierungsendpunkts und den Token-Austausch verwendet wird
• token_secret - auch bekannt als "client_secret", ist ein privater Teil der OAuth2-Einrichtung, der für den Token-Austausch erforderlich ist. Sie sollten es nicht in Git speichern. Selbst der Filter verlangt, dass es als sichere lokale Datei auf dem istio ingressgateway pod verfügbar ist.
• hmac_secret - Wert, der für den Fingerabdruck des Tokens verwendet wird und auf die gleiche Weise sicher gespeichert wird wie token_secret.

apiVersion: v1
kind: ConfigMap
metadata:
  name: istio-oauth2
  namespace: istio-system
data:
  token-secret.yaml: |-
    resources:
      - "@type": "type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.Secret"
        name: token
        generic_secret:
          secret:
            inline_string: "..."
  hmac-secret.yaml: |-
    resources:
      - "@type": "type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.Secret"
        name: hmac
        generic_secret:
          secret:
            # generated using `head -c 32 /dev/urandom | base64`
            inline_bytes: XYJ7ibKwXwmRrO/yL/37ZV+T3Q/WB+xfhmVlio+wmc0=

 - applyTo: HTTP_FILTER
    match:
      context: GATEWAY
      listener:
        filterChain:
          filter:
            name: "envoy.http_connection_manager"
            subFilter:
              name: "envoy.router"
    patch:
      operation: INSERT_BEFORE
      value:
       name: envoy.filters.http.lua
       typed_config:
         "@type": type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua
         inline_code: |
            function envoy_on_response(response_handle)
               if (response_handle:headers():get("location") ~= nil and response_handle:headers():get("location"):sub(1,44) == "https://accounts.google.com/o/oauth2/v2/auth") then
                location = response_handle:headers():get("location")
                location = location:gsub("scope=user", "scope=profile openid email")
                response_handle:headers():replace("location", location)
              end
            end

• id_token - JWT-Token mit allen angeforderten Attributen des Benutzers
• access_token - beginnend mit ya29, ermöglicht den Zugriff auf Google-Dienste (liefert aber keine Benutzerdetails ohne zusätzlichen Aufruf)

 pass_through_matcher:
          - name: authorization
            prefix_match: Bearer

apiVersion: security.istio.io/v1beta1
kind: RequestAuthentication
metadata:
  name: jwt-authentication
  namespace: istio-system
spec:
  selector:
    matchLabels:
      app: istio-ingressgateway
  jwtRules:
  - issuer: https://accounts.google.com
    jwksUri: https://www.googleapis.com/oauth2/v3/certs
    forwardOriginalToken: true
    audiences:
    - 32555940559.apps.googleusercontent.com # google token generator

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: known-user
  namespace: istio-system
spec:
  selector:
    matchLabels:
      app: istio-ingressgateway
  rules:
  - when: # Lack of Authorization header will push user to oauth2 filter
    - key: request.headers[Authorization]
      notValues:
      - 'Bearer*'
  - when: # CI/CD
    - key: request.auth.audiences
      values: ['32555940559.apps.googleusercontent.com']
    - key: request.auth.presenter
      values:
      - ml-ops-ci@gid-ml-ops-sandbox.iam.gserviceaccount.com

• die ohne Authorization-Header (die bereits durch den OAuth2-Filter validiert wurden)
• die mit einem gültigen Autorisierungs-Header, der vom gcloud-Befehl für ein bestimmtes Dienstkonto generiert wurde.