如何为 kubernetes 入口 basic-auth 设置 secodary key

Question

我想在 k8s 中为我的所有服务提供一个入口，并为入口提供一个基本的身份验证。但是对于身份验证轮换，我想支持用户的辅助身份验证，以便在他们重新生成主密钥时可以访问端点。

我目前可以按照本指南设置具有单个基本身份验证的入口。

Answer 1

根据本指南，您可以在用于生成基本身份验证密钥的auth文件中放置多个用户名和密码。 具体来说，如果您在没有-c标志的情况下运行htpasswd命令，例如htpasswd <filename> <username>它将向文件添加一个条目，而不是从头开始创建新文件：

$ htpasswd -c auth foo
New password: <bar>
Re-type new password: <bar>
Adding password for user foo
$ cat auth
foo:$apr1$isCec65Z$JNaQ0GJCpPeG8mR1gYsgM1
$ htpasswd auth user2
New password: <pass2>
Re-type new password: <pass2>
Adding password for user user2
$ cat auth
foo:$apr1$isCec65Z$JNaQ0GJCpPeG8mR1gYsgM1
user2:$apr1$.FsOzlqA$eFxym7flDnoDtymRLraA2/

如果您已经通过给定的命令首先创建了密钥：

$ kubectl create secret generic basic-auth --from-file=auth

然后，您可以使用此技巧更新机密：

$ kubectl create secret generic basic-auth --from-file=auth
--dry-run -o yaml | kubectl apply -f -
Warning: kubectl apply should be used on resource created by either kubectl create --save-config or kubectl apply
secret/basic-auth configured

您可以确认设置密钥有效：

$ kubectl get secret basic-auth -ojsonpath={.data.auth} | base64 -D
foo:$apr1$isCec65Z$JNaQ0GJCpPeG8mR1gYsgM1
user2:$apr1$.FsOzlqA$eFxym7flDnoDtymRLraA2/

最后，您可以使用用户名和密码测试基本身份验证是否正常工作：

$ curl http://<minikube_ip>/ -H 'Host: foo.bar.com' 
-s -w"%{http_code}" -o /dev/null
401
$ curl http://<minikube_ip>/ -H 'Host: foo.bar.com' 
-u 'wronguser:wrongpass' 
-s -w"%{http_code}" -o /dev/null
401
$ curl http://<minikube_ip>/ -H 'Host: foo.bar.com' 
-u 'foo:bar' 
-s -w"%{http_code}" -o /dev/null
200
$ curl http://<minikube_ip>/ -H 'Host: foo.bar.com' 
-u 'user2:pass2' 
-s -w"%{http_code}" -o /dev/null
200