集中认证2 - Kerberos使用LDAP作为后端存储

OpenLDAP作一些必要的调整

ldapadd -D ‘cn=root,ou=Control,dc=intra,dc=wafcloud,dc=cn’ -h 127.0.0.1 -x -W -f add_kerberos_users.ldif

add_kerberos_users.ldif内容如下

1
2
3
4
5
6
7
8
9
10
11

dn: cn=kdc-srv,ou=Control,dc=intra,dc=wafcloud,dc=cn
cn: kdc-srv
userPassword:: e1NTSEF9UDBjQjBycTdlQjM0ZWJudmpqNnB2MFpueG1YZmlrSU8K
objectClass: simpleSecurityObject
objectClass: organizationalRole

dn: cn=kdc-adm,ou=Control,dc=intra,dc=wafcloud,dc=cn
cn: kdc-adm
userPassword:: e1NTSEF9UDBjQjBycTdlQjM0ZWJudmpqNnB2MFpueG1YZmlrSU8K
objectClass: simpleSecurityObject
objectClass: organizationalRole

集中认证

说明

我们常说的认证平台或4A认证是指: 认证(Authentication)、授权(Authorization)、账号(Account)、审计(Audit)

认证: 是否允许你通过

授权: 通过后你拥有哪些权限

账号: 用以标记你是谁, 可以是人、设备、服务等

审计: 都做了什么, 留痕

这里集中认证实现的是账号+认证, 不同于单点登录(SSO, Single Sign On).

授权一般是业务自身来处理, 比如基于账号ID、账号某属性

审计一般是基于日志分析用户做了什么, 有什么安全风险

安装Server端和Client端

1
2

root@jp-vps:~$apt-get install slapd
root@jp-vps:~$apt-get install ldap-utils

LDAP是什么?

LDAP是'Lightweight Directory Access Protocol'简写,中文直译的话称作'轻量级目录访问协议'

那么会引申出什么是directory service?

1
2

A directory is a specialized database specifically designed for searching and browsing,
in additional to supporting basic lookup and update functions.

支持的网络

Docker的网络子系统使用驱动程序, 可插拔的

默认支持的网络

• bridge
• host
• overlay
• macvlan
• none
• 第三方网络插件

前置知识

首先需要了解和清楚Docker是Client-Server架构

• 服务端守护进程dockerd
• REST API 程序和守护进程的桥梁
• CLI(command line interface)客户端docker

CLI就是通过REST API告诉Server(守护进程)做什么

Client Server不一定是同一主机

拉取nginx image

1
2
3
4
5
6
7

xiaomao@jp-vps:~$docker pull nginx

xiaomao@jp-vps:~$docker images
REPOSITORY          TAG                 IMAGE ID            CREATED             SIZE
ubuntu              latest              775349758637        13 days ago         64.2MB
busybox             latest              020584afccce        2 weeks ago         1.22MB
nginx               latest              540a289bab6c        3 weeks ago         126MB

从Docker registry拉取imagebusybox到本地系统

1
2
3
4
5

xiaomao@jp-vps:~$docker pull busybox
xiaomao@jp-vps:~$
xiaomao@jp-vps:~$docker images
REPOSITORY          TAG                 IMAGE ID            CREATED             SIZE
busybox             latest              020584afccce        12 days ago         1.22MB

Docker Engine - Community 支持以下版本的64bitUbuntu

1
2
3
4

* Disco 19.04
* Cosmic 18.10
* Bionic 18.04 (LTS)
* Xenial 16.04 (LTS)

删除旧版本(如果有)

1

apt-get remove docker docker-engine docker.io containerd runc