쿠버네티스 oauth-proxy로 구글 SSO 적용하기

배경

SSO와 OAuth

oauth-proxy: 쿠버네티스 OAuth

1. 특정 서비스에 접속

2. 각 서비스 Ingress에 설정해둔 Annotation에 따라 oauth2-proxy auth-url을 통해 인증여부 확인. 만약 인증이 안되었다면 auth-signin(로그인 창)으로 이동

3. 서비스/oauth로 인증요청하고 oauth-proxy 서버가 token id 획득하여 인증여부 결정

구축방법

고려사항

1. 어떤 IdP를 사용할 것인가?

2. 서비스별로 권한을 어떻게 분리할 것인가?

과정

nginx.ingress.kubernetes.io/auth-url: https://$host/oauth2/auth # 인증 여부 판단하기 위한 URL
nginx.ingress.kubernetes.io/auth-signin: https://$host/oauth2/start?rd=$escaped_request_uri # 인증을 받기 위해 접속해야 하는 URL

---
apiVersion: apps/v1
kind: Deployment
metadata:
    labels:
        k8s-app: autopedia-oauth2-proxy
    name: autopedia-oauth2-proxy
spec:
    replicas: 1
    selector:
        matchLabels:
            k8s-app: autopedia-oauth2-proxy
    template:
        metadata:
            labels:
                k8s-app: autopedia-oauth2-proxy
        spec:
            containers:
                - image: quay.io/oauth2-proxy/oauth2-proxy
                  imagePullPolicy: Always
                  name: oauth2-proxy
                  args:
                      - --email-domain=*
                      - --provider=google
                      - --upstream=file:///dev/null
                      - --http-address=0.0.0.0:<Port>
                      ...
                  env:
                      - name: OAUTH2_PROXY_CLIENT_ID
                        valueFrom:
                            secretKeyRef:
                                name: google-oauth2-client
                                key: client_id
                      - name: OAUTH2_PROXY_CLIENT_SECRET
                        valueFrom:
                            secretKeyRef:
                                name: google-oauth2-client
                                key: client_secret
                      ...
											- name: OAUTH2_PROXY_GOOGLE_GROUP
                        valueFrom:
                            secretKeyRef:
                                name: google-oauth2-client
                                key: google_group
                      - name: OAUTH2_PROXY_GOOGLE_SERVICE_ACCOUNT_JSON
                        value: /usr/google-oauth2/service_account.json
                  ports:
                      - containerPort: <Port>
                        protocol: TCP
---
apiVersion: v1
kind: Service
metadata:
    labels:
        k8s-app: autopedia-oauth2-proxy
    name: autopedia-oauth2-proxy
spec:
    ports:
        - name: http
          port: <Port>
          protocol: TCP
          targetPort: <targetPort>
    selector:
        k8s-app: autopedia-oauth2-proxy
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
    name: autopedia-oauth2-proxy
spec:
    rules:
        - host: <OAuth를 적용할 서비스 도메인>
          http:
              paths:
                  - backend:
                        service:
                            name: autopedia-oauth2-proxy
                            port:
                                number: <Port>
                    path: /oauth2
                    pathType: Prefix

---
apiVersion: argoproj.io/v1alpha1
kind: ApplicationSet
metadata:
    name: oauth2-proxy
spec:
    generators:
        - list:
              elements:
                  - group: engineer
                  - group: autopedia
    template:
        metadata:
            name: '{{group}}-oauth2-proxy'
        spec:
            project: default
            source:
                repoURL: <깃허브 repo>
                targetRevision: HEAD
                path: .../overlays/{{group}}
            destination:
                server: <onprem server url>
                namespace: oauth2-proxy

개선된 부분과 보완할 점

적용 모습

개선된 부분

• 내부 중요 정보가 포함된 서비스들에 대해 보안이 적용되었습니다. ex) Airflow, 정비소 지도…

• 구성원의 변경이 있어도 전사에서 발급하는 구글 워크스페이스 계정하 나로 중요 내부 서비스에 대한 접근 권한을 제어할 수 있게 되었습니다.
• 새로운 구성원 입사 시 서비스 별로 신규 구성원을 위해 별도의 계정을 만들 필요없이 발급되는 구글 워크스페이스 계정으로 이용 가능하도록 하였습니다.
• 구성원이 퇴사 시에 구글 워크스페이스 계정을 비활성화하면 서비스에 접근할 수 없습니다.

• 그룹별 권한 부여를 통해 각 내부 서비스 별로 꼭 필요한 구성원들만 접근할 수 있도록 설정하였습니다.

보완할 점

• 만일 서비스 자체적인 로그인 시스템이 있는 경우 로그인을 2번해야함.

• 외부 서비스 인증절차 때문에 CLI를 이용할 수 없는 경우가 있음.

마무리

참고자료

• 커피고래님 블로그 - Kubernetes-NGINX Ingress 인증 - OAuth

• Nginx Ingress controller 공식 문서