[發(fā)明專利]一種容器服務(wù)用戶認(rèn)證方法

在審

• 申請(qǐng)?zhí)枺?/td>: 201910474805.2
• 申請(qǐng)日: 2019-06-03
• 公開(kāi)（公告）號(hào): CN110198318A
• 公開(kāi)（公告）日: 2019-09-03
• 發(fā)明（設(shè)計(jì)）人: 王文崗;唐曉東;石光銀;蔡衛(wèi)衛(wèi)
• 申請(qǐng)（專利權(quán)）人: 浪潮云信息技術(shù)有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L9/32;G06F21/33;G06F9/455
• 代理公司: 濟(jì)南信達(dá)專利事務(wù)所有限公司 37100
• 代理人: 姜明

1.一種容器服務(wù)用戶認(rèn)證方法，其特征在于，包括以下步驟：

A)用戶訪問(wèn)keycloak集群換取令牌token；

B)將令牌token放在頁(yè)眉header中，訪問(wèn)容器服務(wù)后臺(tái)應(yīng)用程序編程接口API；

C)容器服務(wù)對(duì)用戶進(jìn)行認(rèn)證，若通過(guò)認(rèn)證則執(zhí)行步驟D)，若未能通過(guò)認(rèn)證則拒絕用戶訪問(wèn)；

D)配置相關(guān)集群，對(duì)用戶進(jìn)行認(rèn)證并限制可訪問(wèn)APIServer資源。

2.根據(jù)權(quán)利要求1所述的容器服務(wù)用戶認(rèn)證方法，其特征在于：所述步驟C)中，容器服務(wù)對(duì)用戶進(jìn)行認(rèn)證，包括對(duì)令牌token格式及過(guò)期驗(yàn)證，組group認(rèn)證，角色role認(rèn)證和統(tǒng)一資源定位符url認(rèn)證。

3.根據(jù)權(quán)利要求2所述的容器服務(wù)用戶認(rèn)證方法，其特征在于：所述容器服務(wù)對(duì)令牌token格式及過(guò)期驗(yàn)證是指容器服務(wù)后臺(tái)獲取用戶令牌token后，對(duì)令牌token進(jìn)行解析，驗(yàn)證令牌token的格式以及令牌token是否過(guò)期，若令牌token格式不正確或者已過(guò)期，則拒絕用戶訪問(wèn)。

4.根據(jù)權(quán)利要求2所述的容器服務(wù)用戶認(rèn)證方法，其特征在于：所述容器服務(wù)對(duì)組group認(rèn)證是指解析令牌token后，檢查用戶是否在正確的組group中，若不在，則拒絕用戶訪問(wèn)。

5.根據(jù)權(quán)利要求2所述的容器服務(wù)用戶認(rèn)證方法，其特征在于：所述容器服務(wù)對(duì)角色role認(rèn)證是指解析令牌token后，檢查用戶的角色role，檢查用戶是否具有規(guī)定的角色role，若沒(méi)有，則拒絕用戶訪問(wèn)。

6.根據(jù)權(quán)利要求2所述的容器服務(wù)用戶認(rèn)證方法，其特征在于：所述容器服務(wù)對(duì)統(tǒng)一資源定位符url認(rèn)證是指預(yù)置統(tǒng)一資源定位符url權(quán)限文件，根據(jù)獲取的用戶的角色role，去檢查用戶是否具有訪問(wèn)該統(tǒng)一資源定位符url的權(quán)限，若沒(méi)有，則拒絕用戶訪問(wèn)。

7.根據(jù)權(quán)利要求1所述的容器服務(wù)用戶認(rèn)證方法，其特征在于：所述步驟D)中，用戶通過(guò)登錄獲取的令牌token用來(lái)訪問(wèn)相關(guān)集群的APIServer，進(jìn)而獲取相關(guān)資源，要通過(guò)令牌token進(jìn)行認(rèn)證，對(duì)kubernetes集群的APIServer配置認(rèn)證所需相關(guān)配置項(xiàng)，并配置用戶所能訪問(wèn)資源限制。

8.根據(jù)權(quán)利要求7所述的容器服務(wù)用戶認(rèn)證方法，其特征在于：所述kubernetes集群的APIServer配置認(rèn)證所需相關(guān)配置項(xiàng)包括--oidc-issuer-url，--oidc-client-id和--oidc-username-claim；其中--oidc-issuer-url為keycloak地址，--oidc-client-id為用戶對(duì)應(yīng)的keycloak中的clientid，--oidc-username-claim為jwt聲明使用的用戶名。

9.根據(jù)權(quán)利要求7所述的容器服務(wù)用戶認(rèn)證方法，其特征在于：所述配置用戶所能訪問(wèn)資源限制包括配置clusterrole與clusterrolebingding，在clusterrole中配置用戶可訪問(wèn)的kubernetes集群資源，在clusterrolebingding中綁定相關(guān)用戶。