ASM集成阿里云IDaaS实现网格内应用单点登录

相关概念

步骤一：创建EIAM云身份服务实例及测试账号

1. 登录EIAM云身份服务控制台，创建IDaaS实例。具体操作，请参见免费开通实例。

   一个IDaaS实例可以被视为一个账号系统。创建一个IDaaS实例，相当于创建了一个独立的账号系统。

2. 在EIAM 云身份服务页面，单击目标IDaaS实例名称。

3. 在左侧导航栏，选择账户 > 账户与组织。

4. 在账户页面的账户页签，单击创建账户。

5. 在创建账户面板，设置账户信息，然后单击确定。

步骤二：添加和配置OIDC应用

您可以将IDaaS实例中的应用理解为接口。IDaaS实例可以用不同的应用暴露接口，以各种方式进行单点登录。本文使用OIDC应用进行演示。

1. 在云身份服务控制台左侧导航栏，单击应用。

2. 在应用页面，单击添加应用。

3. 在添加应用页面，单击标准协议页签，在OIDC卡片中单击添加应用。

4. 在添加应用 - OIDC 协议对话框，配置应用名称，然后单击立即添加。

5. 在OIDC应用详情页面，选择登录访问 > 单点登录。

6. 在单点登录配置页面，设置登录Redirect URI。单击显示高级配置，在用户信息范围，选择您需要获取的信息，然后单击保存。

   

   说明

   本例中的Redirect URI设置为http://${ASM网关的CLB地址}/oauth2/callback。请将${}替换为您实际的地址。

7. 在OIDC应用详情页面，选择登录访问 > 授权，然后单击添加授权。

8. 在添加应用授权对话框，为步骤一创建的用户授权，然后单击保存授权。

步骤三：部署测试应用并将其暴露于网关

本文使用httpbin应用作为测试，该应用可以辅助查看请求内容，便于验证登录后从IdP处获取的信息。

1. 使用以下内容，在ACK集群的default命名空间下部署httpbin应用。

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: httpbin
   ---
   apiVersion: v1
   kind: Service
   metadata:
     name: httpbin
     labels:
       app: httpbin
       service: httpbin
   spec:
     ports:
     - name: http
       port: 8000
       targetPort: 80
     selector:
       app: httpbin
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: httpbin
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: httpbin
         version: v1
     template:
       metadata:
         labels:
           app: httpbin
           version: v1
       spec:
         serviceAccountName: httpbin
         containers:
         - image: docker.io/kennethreitz/httpbin
           imagePullPolicy: IfNotPresent
           name: httpbin
           ports:
           - containerPort: 80

2. 使用以下内容，在ASM控制台配置网关规则至对应的ASM实例。具体操作，请参见管理网关规则。

   apiVersion: networking.istio.io/v1beta1
   kind: Gateway
   metadata:
     name: ingressgateway
     namespace: istio-system
   spec:
     selector:
       app: istio-ingressgateway
     servers:
       - hosts:
           - '*'
         port:
           name: http
           number: 80
           protocol: HTTP

3. 使用以下内容，将虚拟服务应用到ASM实例。具体操作，请参见管理虚拟服务。

   该虚拟服务指定了一条指向httpbin应用的默认路由规则。

   apiVersion: networking.istio.io/v1beta1
   kind: VirtualService
   metadata:
     name: ingressgateway-vs
     namespace: istio-system
   spec:
     gateways:
       - ingressgateway
     hosts:
       - '*'
     http:
       - name: default
         route:
           - destination:
               host: httpbin.default.svc.cluster.local
               port:
                 number: 8000

4. 配置完网关规则和虚拟服务后，您可以直接通过curl -I http://${ASM网关外部IP:80}命令，访问httpbin服务。

   示例输出：

步骤四：启用ASM自定义授权服务，配置OIDC单点登录

1. 登录ASM控制台，在左侧导航栏，选择服务网格 > 网格管理。

2. 在网格管理页面，单击目标实例名称，然后在左侧导航栏，选择网格安全中心 > 自定义授权服务，然后单击关联自定义授权服务。

3. 在关联自定义授权服务页面，单击OIDC身份认证授权服务页签，进行相关配置，然后单击创建。

   OIDC应用的相关信息由步骤二获取。您可以使用ASM网关作为登录重定向地址。关于Cookie Secret的更多信息，请参见Cookie Secret的生成。

4. 使用数据平面集群KubeConfig，执行以下命令，获取OIDC外部授权服务域名。

   kubectl get svc -n istio-system|grep oauth2proxy|awk -F' ' '{print $1}'

5. 使用以下内容，创建VirtualService，接收ASM网关的认证请求。

   apiVersion: networking.istio.io/v1beta1
   kind: VirtualService
   metadata:
     name: oauth2-vs
     namespace: istio-system
   spec:
     gateways:
       - ingressgateway
     hosts:
       - '*'
     http:
       - match:
           - uri:
               prefix: /oauth2
         name: oauth2
         route:
           - destination:
               host: # 上一步获取的外部授权服务域名。
               port:
                 number: 4180

   重要

   为防止VirtualService冲突，请勿将其他VirtualService匹配前缀为/oauth2的路径。

步骤五：创建授权策略

1. 在网格详情页面左侧导航栏，选择网格安全中心 > 授权策略，然后在右侧页面，单击使用YAML创建。

2. 在创建页面，选择命名空间和场景模板，配置如下YAML，然后单击创建。

   apiVersion: security.istio.io/v1beta1
   kind: AuthorizationPolicy
   metadata:
     name: oidc
     namespace: istio-system
   spec:
     action: CUSTOM
     provider:
       name: httpextauth-oidc  # 上面创建的自定义授权策略的名称。
     rules:
       - {}
     selector:
       matchLabels:
         istio: ingressgateway

   说明

   该权限策略会对所有进入ASM网关的请求进行授权。

步骤六：结果验证

1. 在浏览器中访问http://${ASM网关外部IP:80}。

   显示如下页面，说明单点登录生效。

2. 单击Sign in with OpenID Connect。

   预期结果：

3. 在阿里云IDaaS的登录页面，输入步骤一创建的测试账号以及密码，然后单击登录。

   预期结果：

4. 单击Request inspection，选择/headers > try it out > Execute。

   预期结果：

5. 将上一步骤中Bearer之后请求携带的JWT在JWT Debugger中进行解析。

   关于JWT Debugger的更多信息，请参见JWT debugger。

   预期结果：解析成功后，您可以看到如上信息。其中附带IDaaS中存储的用户信息，并且当前的JWT已经经过了ASM的校验。