10.5. Zero Trust Workload Identity Manager OIDC 联邦

流程

1. 运行以下命令来登录到 Azure：

   $ az login

   Copy to Clipboard Toggle word wrap

2. 为 Azure 订阅和租户配置变量：

   $ export SUBSCRIPTION_ID=$(az account list --query "[?isDefault].id" -o tsv) 

   1

   
   $ export TENANT_ID=$(az account list --query "[?isDefault].tenantId" -o tsv) 

   2

   
   $ export LOCATION=centralus 

   3

   Copy to Clipboard Toggle word wrap

   1

   您的唯一订阅标识符。

   2

   Azure Active Directory 实例的 ID。

   3

   创建资源的 Azure 区域。

3. 定义资源变量名称。

   $ export NAME=ztwim 

   1

   
   $ export RESOURCE_GROUP="${NAME}-rg" 

   2

   
   $ export STORAGE_ACCOUNT="${NAME}storage" 

   3

   
   $ export STORAGE_CONTAINER="${NAME}storagecontainer" 

   4

   
   $ export USER_ASSIGNED_IDENTITY_NAME="${NAME}-identity" 

   5

   Copy to Clipboard Toggle word wrap

   1

   所有资源的基础名称。

   2

   资源组的名称。

   3

   存储帐户的名称。

   4

   存储容器的名称。

   5

   受管身份的名称。

4. 创建资源组。

   $ az group create \
     --name "${RESOURCE_GROUP}" \
     --location "${LOCATION}"

   Copy to Clipboard Toggle word wrap

流程

1. 创建用于存储内容的新存储帐户。

   $ az storage account create \
     --name ${STORAGE_ACCOUNT} \
     --resource-group ${RESOURCE_GROUP} \
     --location ${LOCATION} \
     --encryption-services blob

   Copy to Clipboard Toggle word wrap

2. 获取新创建的存储帐户的存储 ID。

   $ export STORAGE_ACCOUNT_ID=$(az storage account show -n ${STORAGE_ACCOUNT} -g ${RESOURCE_GROUP} --query id --out tsv)

   Copy to Clipboard Toggle word wrap

3. 在新创建的存储帐户中创建存储容器，以提供支持 Blob 存储的位置。

   $ az storage container create \
     --account-name ${STORAGE_ACCOUNT} \
     --name ${STORAGE_CONTAINER} \
     --auth-mode login

   Copy to Clipboard Toggle word wrap

流程

1. 创建一个新的用户管理身份，然后获取与 User Managed Identity 关联的相关服务主体的客户端 ID。

   $ az identity create \
     --name ${USER_ASSIGNED_IDENTITY_NAME} \
     --resource-group ${RESOURCE_GROUP}
   
   $ export IDENTITY_CLIENT_ID=$(az identity show --resource-group "${RESOURCE_GROUP}" --name "${USER_ASSIGNED_IDENTITY_NAME}" --query 'clientId' -otsv)

   Copy to Clipboard Toggle word wrap

2. 将角色与 User Managed Identity 关联的 Service Principal 关联。

   $ az role assignment create \
     --role "Storage Blob Data Contributor" \
     --assignee "${IDENTITY_CLIENT_ID}" \
     --scope ${STORAGE_ACCOUNT_ID}

   Copy to Clipboard Toggle word wrap

流程

1. 设置应用程序名称和命名空间。

   $ export APP_NAME=workload-app
   $ export APP_NAMESPACE=demo

   Copy to Clipboard Toggle word wrap

2. 创建命名空间。

   $ oc create namespace $APP_NAMESPACE

   Copy to Clipboard Toggle word wrap

3. 创建应用程序 Secret。

   $ oc apply -f - << EOF
   apiVersion: v1
   kind: Secret
   metadata:
     name: $APP_NAME
     namespace: $APP_NAMESPACE
   stringData:
     AAD_AUTHORITY: https://login.microsoftonline.com/
     AZURE_AUDIENCE: "api://AzureADTokenExchange"
     AZURE_TENANT_ID: "${TENANT_ID}"
     AZURE_CLIENT_ID: "${IDENTITY_CLIENT_ID}"
     BLOB_STORE_ACCOUNT: "${STORAGE_ACCOUNT}"
     BLOB_STORE_CONTAINER: "${STORAGE_CONTAINER}"
   EOF

   Copy to Clipboard Toggle word wrap

流程

1. 要部署应用，请复制提供的整个命令块，并将它直接粘贴到终端中。按 Enter 键。

   $ oc apply -f - << EOF
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: $APP_NAME
     namespace: $APP_NAMESPACE
   ---
   kind: Deployment
   apiVersion: apps/v1
   metadata:
     name: $APP_NAME
     namespace: $APP_NAMESPACE
   spec:
     selector:
       matchLabels:
         app: $APP_NAME
     template:
       metadata:
         labels:
           app: $APP_NAME
           deployment: $APP_NAME
       spec:
         serviceAccountName: $APP_NAME
         containers:
           - name: $APP_NAME
             image: "registry.redhat.io/ubi9/python-311:latest"
             command:
               - /bin/bash
               - "-c"
               - |
                 #!/bin/bash
                 pip install spiffe azure-cli
   
                 cat << EOF > /opt/app-root/src/get-spiffe-token.py
                 #!/opt/app-root/bin/python
                 from spiffe import JwtSource
                 import argparse
                 parser = argparse.ArgumentParser(description='Retrieve SPIFFE Token.')
                 parser.add_argument("-a", "--audience", help="The audience to include in the token", required=True)
                 args = parser.parse_args()
                 with JwtSource() as source:
                   jwt_svid = source.fetch_svid(audience={args.audience})
                   print(jwt_svid.token)
                 EOF
   
                 chmod +x /opt/app-root/src/get-spiffe-token.py
                 while true; do sleep 10; done
             envFrom:
             - secretRef:
                 name: $APP_NAME
             env:
               - name: SPIFFE_ENDPOINT_SOCKET
                 value: unix:///run/spire/sockets/spire-agent.sock
             securityContext:
               allowPrivilegeEscalation: false
               capabilities:
                 drop:
                   - ALL
               readOnlyRootFilesystem: false
               runAsNonRoot: true
               seccompProfile:
                 type: RuntimeDefault
             ports:
               - containerPort: 8080
                 protocol: TCP
             volumeMounts:
               - name: spiffe-workload-api
                 mountPath: /run/spire/sockets
                 readOnly: true
         volumes:
           - name: spiffe-workload-api
             csi:
               driver: csi.spiffe.io
               readOnly: true
   EOF

   Copy to Clipboard Toggle word wrap

验证

1. 确保 workload-app pod 成功运行。

   $ oc get pods -n $APP_NAMESPACE

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                             READY     STATUS      RESTARTS      AGE
   workload-app-5f8b9d685b-abcde    1/1       Running     0             60s

   Copy to Clipboard Toggle word wrap

2. 检索 SPIFFE JWT 令牌 (SVID-JWT)

   # Get the pod name dynamically
   $ POD_NAME=$(oc get pods -n $APP_NAMESPACE -l app=$APP_NAME -o jsonpath='{.items[0].metadata.name}')
   
   # Execute the script inside the pod
   $ oc exec -it $POD_NAME -n $APP_NAMESPACE -- \
     /opt/app-root/src/get-spiffe-token.py -a "api://AzureADTokenExchange"

   Copy to Clipboard Toggle word wrap

流程

1. 从 SPIFFE Workload API 检索 JWT 令牌，并登录到 pod 中包含的 Azure CLI。

   $ oc rsh -n $APP_NAMESPACE deployment/$APP_NAME
   
   $ export TOKEN=$(/opt/app-root/src/get-spiffe-token.py --audience=$AZURE_AUDIENCE)
   $ az login --service-principal \
     -t ${AZURE_TENANT_ID} \
     -u ${AZURE_CLIENT_ID} \
     --federated-token ${TOKEN}

   Copy to Clipboard Toggle word wrap

2. 使用应用程序工作负载 pod 创建一个新文件，并将该文件上传到 Blob 存储。

   $ echo “Hello from OpenShift” > openshift-spire-federated-identities.txt
   $ az storage blob upload \
     --account-name ${BLOB_STORE_ACCOUNT} \
     --container-name ${BLOB_STORE_CONTAINER} \
     --name openshift-spire-federated-identities.txt \
     --file openshift-spire-federated-identities.txt \
     --auth-mode login

   Copy to Clipboard Toggle word wrap

流程

1. 打开到 vault pod 的远程 shell:

   $ oc rsh -n vault statefulset/vault

   Copy to Clipboard Toggle word wrap

2. 初始化 Vault 以获取您的取消密封密钥和 root 令牌：

   $ vault operator init -key-shares=1 -key-threshold=1 -format=json

   Copy to Clipboard Toggle word wrap

3. 导出之前命令收到的取消密封密钥和 root 令牌：

   $ export UNSEAL_KEY=<Your-Unseal-Key>
   $ export ROOT_TOKEN=<Your-Root-Token>

   Copy to Clipboard Toggle word wrap

4. 使用您的取消密封密钥取消密封 Vault：

   $ vault operator unseal -format=json $UNSEAL_KEY

   Copy to Clipboard Toggle word wrap
5. 输入 Exit 退出 pod。

流程

1. 在 Vault pod 中打开另一个 shell 会话。

   $ oc rsh -n vault statefulset/vault

   Copy to Clipboard Toggle word wrap

2. 在此新会话中再次导出 root 令牌并登录：

   $ export ROOT_TOKEN=<Your-Root-Token>
   $ vault login "${ROOT_TOKEN}"

   Copy to Clipboard Toggle word wrap

3. 在 secret/ 路径中启用 KV secret 引擎并创建测试 secret：

   $ export NAME=ztwim
   $ vault secrets enable -path=secret kv
   $ vault kv put secret/$NAME version=v0.1.0

   Copy to Clipboard Toggle word wrap

流程

1. 在本地机器上，检索 SPIRE 证书颁发机构(CA)捆绑包并将其保存到文件中：

   $ oc get cm -n zero-trust-workload-identity-manager spire-bundle -o jsonpath='{ .data.bundle\.crt }' > oidc_provider_ca.pem

   Copy to Clipboard Toggle word wrap

2. 返回到 Vault pod shell，创建一个临时文件，并将 oidc_provider_ca.pem 的内容粘贴到其中：

   $ cat << EOF > /tmp/oidc_provider_ca.pem
   -----BEGIN CERTIFICATE-----
   <Paste-Your-Certificate-Content-Here>
   -----END CERTIFICATE-----
   EOF

   Copy to Clipboard Toggle word wrap

3. 为 JWT 配置设置必要的环境变量：

   $ export APP_DOMAIN=<Your-App-Domain>
   $ export JWT_ISSUER_ENDPOINT="oidc-discovery.$APP_DOMAIN"
   $ export OIDC_URL="https://$JWT_ISSUER_ENDPOINT"
   $ export OIDC_CA_PEM="$(cat /tmp/oidc_provider_ca.pem)"

   Copy to Clipboard Toggle word wrap

4. 启用 JWT 验证方法并使用您的 OIDC 供应商详情进行配置：

   $ export ROLE="${NAME}-role"
   $ vault auth enable jwt
   $ vault write auth/jwt/config \
     oidc_discovery_url=$OIDC_URL \
     oidc_discovery_ca_pem="$OIDC_CA_PEM" \
     default_role=$ROLE

   Copy to Clipboard Toggle word wrap

5. 创建名为 ztwim-policy 的策略，其授予对之前创建的 secret 的读取访问权限：

   $ export POLICY="${NAME}-policy"
   $ vault policy write $POLICY -<<EOF
   path "secret/$NAME" {
       capabilities = ["read"]
   }
   EOF

   Copy to Clipboard Toggle word wrap

6. 创建一个 JWT 角色，将策略绑定到带有特定 SPIFFE ID 的工作负载：

   $ export APP_NAME=client
   $ export APP_NAMESPACE=demo
   $ export AUDIENCE=$APP_NAME
   $ vault write auth/jwt/role/$ROLE -<<EOF
   {
     "role_type": "jwt",
     "user_claim": "sub",
     "bound_audiences": "$AUDIENCE",
     "bound_claims_type": "glob",
     "bound_claims": {
       "sub": "spiffe://$APP_DOMAIN/ns/$APP_NAMESPACE/sa/$APP_NAME"
     },
     "token_ttl": "24h",
     "token_policies": "$POLICY"
   }
   EOF

   Copy to Clipboard Toggle word wrap

流程

1. 在本地机器上，为您的应用程序设置环境变量：

   $ export APP_NAME=client
   $ export APP_NAMESPACE=demo
   $ export AUDIENCE=$APP_NAME

   Copy to Clipboard Toggle word wrap

2. 应用 Kubernetes 清单，为 demo 应用创建命名空间、服务帐户和部署。这个部署挂载 SPIFFE CSI 驱动程序套接字。

   $ oc apply -f - <<EOF
   # ... (paste the full YAML from your provided code here) ...
   EOF

   Copy to Clipboard Toggle word wrap

流程

1. 在运行的客户端 pod 中运行命令以获取 JWT-SVID：

   $ oc -n $APP_NAMESPACE exec -it $(oc get pod -o=jsonpath='{.items[*].metadata.name}' -l app=$APP_NAME -n $APP_NAMESPACE) \
     -- /opt/spire/bin/spire-agent api fetch jwt \
     -socketPath /run/spire/sockets/spire-agent.sock \
     -audience $AUDIENCE

   Copy to Clipboard Toggle word wrap

2. 从输出中复制令牌，并将其导出为本地机器中的环境变量：

   $ export IDENTITY_TOKEN=<Your-JWT-Token>

   Copy to Clipboard Toggle word wrap

3. 使用 curl 将 JWT 令牌发送到 Vault 登录端点，以获取 Vault 客户端令牌：

   $ export ROLE="${NAME}-role"
   $ VAULT_TOKEN=$(curl -s --request POST --data '{ "jwt": "'"${IDENTITY_TOKEN}"'", "role": "'"${ROLE}"'"}' "${VAULT_ADDR}"/v1/auth/jwt/login | jq -r '.auth.client_token')

   Copy to Clipboard Toggle word wrap