Использование OAuth2 с Nginx Ingress Controller

Установка OAuth2 proxy

Значение поля Secret, полученное при регистрации приложения, сохраним в секрете Kubernetes. Там же сохраним случайную строку для создания защищённых кук:

kubectl create secret generic oauth2-proxy-secret \
--from-literal=client_secret=e2fa6cf3a7fa5e3f7102b661ef4fd491601965d3f43632732d01d6f28919297a \
--from-literal=cookie_secret=ymOhGQEKH3cVMipUEoM39QSdfDLQJUFxrUEQexJ7eOMMu6SH2UVnfJBV93a4fwtL

Создадим минимальный Deployment для запуска oauth2-proxy.

Понадобится установить переменные окружения

OAUTH2_PROXY_CLIENT_ID

значение из поля Application ID формы регистрации приложения

OAUTH2_PROXY_CLIENT_SECRET

сошлёмся на секрет, где хранится значение Secret

OAUTH2_PROXY_COOKIE_SECRET

и значение cookie_secret

OAUTH2_PROXY_PROVIDER

Один из многочисленных возможных провайдеров OAuth2. В нашем случае это gitlab.

OAUTH2_PROXY_GITLAB_GROUP

Группа, членство в которой даёт доступ к нашему приложению. В нашем случае -- remizov-org-drafts.

Ещё одна переменная, которая не должна понадобиться в реальной жизни, а в этот пример попала только для поддержки незащищённых запросов по http://

OAUTH2_PROXY_COOKIE_SECURE

Управление использованием защищённых кук, по-умолчанию "true".

apiVersion: apps/v1
kind: Deployment
metadata:
  name: oauth2-proxy
spec:
  selector:
    matchLabels:
      app: oauth2-proxy
  template:
    metadata:
      labels:
        app: oauth2-proxy
    spec:
      containers:
        - name: oauth2-proxy
          image: quay.io/pusher/oauth2_proxy:v5.0.0
          imagePullPolicy: IfNotPresent
          args:
            - --http-address
            - :4180
            - --email-domain
            - '*'
          ports:
            - name: application
              containerPort: 4180
              protocol: TCP
          env:
            - name: OAUTH2_PROXY_CLIENT_ID
              value: 3783106dc885fb92b6f1294060a4432ac7b25c5c5952dde03f83d1eccd9c3a75
            - name: OAUTH2_PROXY_CLIENT_SECRET
              valueFrom:
                secretKeyRef:
                  name: oauth2-proxy-secret
                  key: client_secret
            - name: OAUTH2_PROXY_COOKIE_SECRET
              valueFrom:
                secretKeyRef:
                  name: oauth2-proxy-secret
                  key: cookie_secret
            - name: OAUTH2_PROXY_PROVIDER
              value: gitlab
            - name: OAUTH2_PROXY_GITLAB_GROUP
              value: remizov-org-drafts
            # Don't use it in production
            - name: OAUTH2_PROXY_COOKIE_SECURE
              value: "false"

Немного о ключах приложения.

Если не установить --http-address :4180, сервис привяжется к 127.0.0.1. Для нашего варианта установки это не подойдёт.

--email-domain -- обязательный параметр, указывает домен, к которому должны принадлежать почтовые адреса пользователей. Мы уже ограничиваем доступ группой GitLab, дополнительное ограничение нам не требуется, поэтому разрешаем любой домен.

Создадим Service для публикации приложения в кластере:

apiVersion: v1
kind: Service
metadata:
  name: oauth2-proxy
spec:
  type: ClusterIP
  selector:
    app: oauth2-proxy
  ports:
  - name: http
    port: 80
    targetPort: application
    protocol: TCP

и Ingress для доступа снаружи:

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: oauth2-proxy
spec:
  rules:
  - host: drafts.remizov.org
    http:
      paths:
      - backend:
          serviceName: oauth2-proxy
          servicePort: 80
        path: /oauth2

Здесь важно, чтобы домен совпал с доменом, который мы собираемся закрыть, а путь по-умолчанию был /oauth2. Если хочется поменять путь, поменяйте его и здесь, и в приложении при помощи ключа -proxy-prefix и в форме свойств приложения GitLab в поле Callback URL. Чувствуете, что лучше не трогать?

Настройка Ingress для приложения

Итак, сейчас, если на наш сайт будут приходить запросы от сервера OAuth2, их обработает приложение oauth2-proxy. Теперь нужно настроить основное приложение так, чтобы неавторизованные запросы перенаправлялись на сервер авторизации.

Выше был показан Ingress, созданный для сайта. Нужно добавить к нему две аннотации:

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: drafts-remizov-org
  annotations:
    nginx.ingress.kubernetes.io/auth-signin: http://$host/oauth2/start?rd=$escaped_request_uri
    nginx.ingress.kubernetes.io/auth-url: http://$host/oauth2/auth
.  .  .