使用 Keycloak 設定 MinIO 進行身份驗證

MinIO Kubernetes 運算子

確保您的目標 Kubernetes 叢集已正確安裝且可運作 MinIO Kubernetes 運算子。此文件假設最新的穩定運算子版本為 6.0.4。

MinIO 租戶

此程序假設您的 Kubernetes 叢集有足夠的資源來部署新的 MinIO 租戶。

您也可以使用此程序作為修改現有 MinIO 租戶以啟用 Keycloak 身份管理的指南。

Keycloak 部署和 Realm 設定

此程序假設您已存在 Keycloak 部署，且您具有管理權限。具體而言，您必須有權限在 Keycloak 部署上建立和設定 Realm、用戶端、用戶端範圍、Realm 角色、使用者和群組。

對於與 MinIO 租戶位於相同 Kubernetes 叢集中的 Keycloak 部署，此程序假設 Keycloak 和 MinIO Pod/服務之間具有雙向存取權。

對於 Kubernetes 叢集外部的 Keycloak 部署，此程序假設存在現有的 Ingress、負載平衡器或類似的 Kubernetes 網路控制元件，用於管理進出 MinIO 租戶的網路存取。

安裝和設定具有存取 MinIO 叢集權限的 mc

此程序使用 mc 來對 MinIO 叢集執行操作。在可存取叢集的網路上安裝 mc。

您的本機主機必須能夠存取 MinIO 租戶，例如透過 Ingress、負載平衡器或類似的 Kubernetes 網路控制元件。

請參閱 mc 安裝快速入門，以取得有關下載和安裝 mc 的說明。

此程序假設您已為 MinIO 叢集設定 alias。

1) 設定或建立一個用於存取 Keycloak 的客戶端

驗證 Keycloak 管理主控台 並導覽至 客戶端。

選擇 建立客戶端 並按照說明為 MinIO 建立新的 Keycloak 客戶端。 填寫指定的輸入如下

Keycloak 使用預設的一組組態值部署客戶端。根據您的 Keycloak 設定和所需的行為修改這些值。下表提供要組態的設定和值的基準

2) 為 MinIO 客戶端建立客戶端範圍

客戶端範圍允許 Keycloak 將使用者屬性對應為身份驗證請求中傳回的 JSON Web 權杖 (JWT) 的一部分。這允許 MinIO 在為使用者分配原則時參考這些屬性。此步驟會建立必要的客戶端範圍，以支援在 Keycloak 成功身份驗證後進行 MinIO 授權。

導覽至 客戶端範圍 檢視畫面，並為 MinIO 授權建立新的客戶端範圍

建立後，從清單中選擇範圍並導覽至 對應器。

選擇 設定新的對應器 以建立新的對應

建立後，將客戶端範圍指派給 MinIO 客戶端。

1. 導覽至 客戶端 並選擇 MinIO 客戶端。

2. 選擇 客戶端範圍，然後選擇 新增客戶端範圍。

3. 選擇先前建立的範圍，並將 指派類型 設定為 預設。

3) 將必要的屬性套用至 Keycloak 使用者/群組

您必須將名為 policy 的屬性指派給 Keycloak 使用者或群組。將值設定為 MinIO 部署中的任何 原則。

對於使用者，導覽至 使用者 並選擇或建立使用者

對於群組，導覽至 群組 並選擇或建立群組

您可以將使用者指派給群組，以便他們繼承指定的 policy 屬性。如果您將對應器設定設定為啟用 彙總屬性值，Keycloak 會將原則的彙總陣列做為已驗證使用者 JWT 權杖的一部分。MinIO 可以在授權使用者時使用此原則清單。

您可以使用 Keycloak API 測試使用者的已設定原則

curl -d "client_id=minio" \
     -d "client_secret=secretvalue" \
     -d "grant_type=password" \
     -d "username=minio-user-1" \
     -d "password=minio-user-1-password" \
     http://keycloak-service.keycloak-namespace.svc.cluster-domain.example/realms/REALM/protocol/openid-connect/token

如果成功，access_token 包含使用 MinIO AssumeRoleWithWebIdentity STS API 和產生 S3 認證所需的 JWT。

您可以使用 JWT 解碼器檢閱酬載，並確保它包含 policy 金鑰，其中列出了一個或多個 MinIO 原則。

4) 設定 MinIO 以進行 Keycloak 身份驗證

MinIO 支援多種設定 Keycloak 身份驗證的方法

• 使用 MinIO 租戶主控台

• 使用終端機/shell 和 mc idp openid 命令

kubectl describe svc/TENANT_NAME-console -n TENANT_NAMESPACE

mc idp openid add ALIAS PRIMARY_IAM \
   client_id=MINIO_CLIENT \
   client_secret=MINIO_CLIENT_SECRET \
   config_url="https://keycloak-service.keycloak-namespace.svc.cluster-domain.example/realms/REALM/.well-known/openid-configuration" \
   display_name="SSO_IDENTIFIER"
   scopes="openid,email,preferred_username" \
   redirect_uri_dynamic="on"

重新啟動 MinIO 部署以套用變更。

檢查 MinIO 記錄，並確認啟動成功，且沒有與 OIDC 設定相關的錯誤。

如果您嘗試使用主控台登入，您現在應該會看到一個 (SSO) 按鈕，其中使用設定的 顯示名稱。

指定已設定的使用者，並嘗試登入。MinIO 應該會自動將您重新導向至 Keycloak 登入項目。成功進行身份驗證後，Keycloak 應使用原始的主控台 URL或設定的 重新導向 URI 將您重新導向回 MinIO 主控台。

5) 使用安全權杖服務 (STS) 產生應用程式憑證

使用 S3 相容 SDK 的應用程式必須以存取金鑰和密碼金鑰的形式指定憑證。MinIO AssumeRoleWithWebIdentity API 會傳回必要的暫時憑證，包括必要的工作階段權杖，並使用 Keycloak 在身份驗證後傳回的 JWT。

您可以使用以下 HTTP 呼叫順序和 curl 工具來測試此工作流程

1. 以 Keycloak 使用者身分驗證並檢索 JWT 權杖

   curl -X POST "https://keycloak-service.keycloak-namespace.svc.cluster-domain.example/realms/REALM/protocol/openid-connect/token" \
        -H "Content-Type: application/x-www-form-urlencoded" \
        -d "username=USER" \
        -d "password=PASSWORD" \
        -d "grant_type=password" \
        -d "client_id=CLIENT" \
        -d "client_secret=SECRET"
   

   • 將 USER 和 PASSWORD 替換為 REALM 上 Keycloak 使用者的憑證。

   • 將 CLIENT 和 SECRET 替換為 REALM 上 MinIO 特定 Keycloak 用戶端的用戶端 ID 和密碼

   您可以使用 jq 或類似的 JSON 格式化工具來處理結果。擷取 access_token 欄位以檢索必要的存取權杖。請注意 expires_in 欄位，以記錄權杖到期前的秒數。

2. 使用 AssumeRoleWithWebIdentity API 產生 MinIO 憑證

   curl -X POST "https://minio.minio-tenant.svc.cluster-domain.example" \
        -H "Content-Type: application/x-www-form-urlencoded" \
        -d "Action=AssumeRoleWithWebIdentity" \
        -d "Version=2011-06-15" \
        -d "DurationSeconds=86000" \
        -d "WebIdentityToken=TOKEN"
   

   將 TOKEN 替換為 Keycloak 傳回的 access_token 值。

   成功時，API 會傳回包含以下金鑰的 XML 文件

   • Credentials.AccessKeyId - Keycloak 使用者的存取金鑰

   • Credentials.SecretAccessKey - Keycloak 使用者的密碼金鑰

   • Credentials.SessionToken - Keycloak 使用者的工作階段權杖

   • Credentials.Expiration - 產生憑證的到期日期

3. 測試憑證

   使用您偏好的相容 S3 的 SDK，以產生的憑證連線到 MinIO。

   例如，以下使用 MinIO Python SDK 的 Python 程式碼會連線到 MinIO 部署並傳回儲存貯體清單

   from minio import Minio
   
   client = MinIO(
      "minio.minio-tenant.svc.cluster-domain.example",
      access_key = "ACCESS_KEY",
      secret_key = "SECRET_KEY",
      session_token = "SESSION_TOKEN"
      secure = True
   )
   
   client.list_buckets()
   

後續步驟

應用程式應使用其選擇的 SDK 實作 STS AssumeRoleWithWebIdentity 流程。當 STS 憑證過期時，應用程式應具有適當的邏輯，以便在重試和繼續操作之前重新產生 JWT 權杖、STS 權杖和 MinIO 憑證。

或者，使用者可以透過 MinIO 主控台產生存取金鑰，以便使用其 Keycloak 憑證建立類似 API 金鑰的長期存取。

1) 建立必要的用戶端範圍

瀏覽至用戶端範圍檢視並建立新的範圍

瀏覽至用戶端並選取 MinIO 用戶端

1. 從服務帳戶角色中，選取指派角色並指派 admin 角色

2. 從用戶端範圍中，選取新增用戶端範圍並新增先前建立的範圍

瀏覽至設定並確保驗證流程包含服務 帳戶 角色。

2) 驗證管理 API 存取

您可以使用 MinIO 用戶端憑證，透過管理 REST API 檢索持有人權杖和使用者資料來驗證功能

1. 檢索持有人權杖

   curl -d "client_id=minio" \
        -d "client_secret=secretvalue" \
        -d "grant_type=password" \
        http://keycloak-url:port/admin/realms/REALM/protocol/openid-connect/token
   

2. 使用傳回的值作為 access_token 來存取管理 API

   curl -H "Authentication: Bearer ACCESS_TOKEN_VALUE" \
        http://keycloak-url:port/admin/realms/REALM/users/UUID
   

   將 UUID 替換為您想要檢索之使用者的唯一 ID。回應應類似如下所示

   {
      "id": "954de141-781b-4eaf-81bf-bf3751cdc5f2",
      "createdTimestamp": 1675866684976,
      "username": "minio-user-1",
      "enabled": true,
      "totp": false,
      "emailVerified": false,
      "firstName": "",
      "lastName": "",
      "attributes": {
         "policy": [
            "readWrite"
         ]
      },
      "disableableCredentialTypes": [],
      "requiredActions": [],
      "notBefore": 0,
      "access": {
         "manageGroupMembership": true,
         "view": true,
         "mapRoles": true,
         "impersonate": true,
         "manage": true
      }
   }
   

   如果傳回的值具有 enabled: false 或 null (使用者已從 Keycloak 中移除)，MinIO 將會撤銷已驗證使用者的存取權。

3) 在 MinIO 上啟用 Keycloak 管理支援

MinIO 支援多種設定 Keycloak 管理 API 支援的方法

• 使用終端機/shell 和 mc idp openid 命令

• 在啟動 MinIO 之前使用設定的環境變數

mc idp openid update ALIAS KEYCLOAK_IDENTIFIER \
   vendor="keycloak" \
   keycloak_admin_url="https://keycloak-url:port/admin"
   keycloak_realm="REALM"

MINIO_IDENTITY_OPENID_VENDOR_PRIMARY_IAM="keycloak"
MINIO_IDENTITY_OPENID_KEYCLOAK_ADMIN_URL_PRIMARY_IAM="https://keycloak-url:port/admin"
MINIO_IDENTITY_OPENID_KEYCLOAK_REALM_PRIMARY_IAM="REALM"