rancher2.x如何配置AD域認證

發布時間：2021-12-07 14:38:46 來源：億速云閱讀：218 作者：小新欄目：云計算

# Rancher 2.x如何配置AD域認證

## 目錄
1. [前言](#前言)
2. [AD域認證概述](#ad域認證概述)
3. [準備工作](#準備工作)
4. [配置步驟詳解](#配置步驟詳解)
   - 4.1 [安裝和配置OpenLDAP工具](#安裝和配置openldap工具)
   - 4.2 [Rancher中啟用AD認證](#rancher中啟用ad認證)
   - 4.3 [配置LDAP連接參數](#配置ldap連接參數)
   - 4.4 [用戶和組映射配置](#用戶和組映射配置)
   - 4.5 [測試和驗證](#測試和驗證)
5. [高級配置](#高級配置)
   - 5.1 [TLS加密配置](#tls加密配置)
   - 5.2 [嵌套組支持](#嵌套組支持)
   - 5.3 [屬性映射自定義](#屬性映射自定義)
6. [常見問題排查](#常見問題排查)
7. [最佳實踐](#最佳實踐)
8. [總結](#總結)

## 前言

在企業級Kubernetes管理平臺中，集中式身份認證是安全管理的核心需求。Rancher 2.x作為領先的Kubernetes管理平臺，支持與Active Directory（AD）域服務集成，實現企業級身份認證。本文將詳細講解如何在Rancher 2.x中配置AD域認證，涵蓋從基礎配置到高級調優的全流程。

## AD域認證概述

Active Directory是微軟開發的目錄服務，具有以下特點：
- 基于LDAP協議實現
- 采用Kerberos認證協議
- 支持組織單元(OU)和組嵌套
- 提供完善的用戶生命周期管理

Rancher通過LDAP協議與AD集成，實現：
- 統一身份認證
- 基于AD組的訪問控制
- 用戶信息自動同步
- 與企業安全策略無縫對接

## 準備工作

### 環境要求
1. **AD域控制器**：
   - Windows Server 2012 R2或更高版本
   - 正確的DNS配置
   - 可用的SSL證書（如需TLS）

2. **網絡要求**：
   - Rancher Server可訪問AD域控的389端口（或636 TLS端口）
   - 防火墻允許雙向通信

3. **賬戶權限**：
   - 具有LDAP查詢權限的AD服務賬戶
   - 示例賬戶：`CN=rancher-query,OU=Service Accounts,DC=example,DC=com`

4. **信息收集**：
   ```markdown
   - 域控服務器地址：ad.example.com
   - Base DN：DC=example,DC=com
   - 用戶搜索庫：OU=Users,DC=example,DC=com
   - 組搜索庫：OU=Groups,DC=example,DC=com
   - 服務賬戶DN：CN=rancher-query,OU=Service Accounts,DC=example,DC=com
   - 服務賬戶密碼：********

配置步驟詳解

4.1 安裝和配置OpenLDAP工具

推薦使用OpenLDAP工具驗證AD連接性：

# Ubuntu/Debian
sudo apt-get install ldap-utils

# CentOS/RHEL
sudo yum install openldap-clients

測試基本連接：

ldapsearch -x -H ldap://ad.example.com -b "DC=example,DC=com" \
-D "CN=rancher-query,OU=Service Accounts,DC=example,DC=com" \
-W "(objectClass=user)"

4.2 Rancher中啟用AD認證

使用管理員賬戶登錄Rancher UI
導航至全局 > 安全 > 認證
選擇Active Directory認證方式

4.3 配置LDAP連接參數

基礎配置項：

服務器地址: ad.example.com
端口: 389  # TLS使用636
連接超時: 5000
Base DN: DC=example,DC=com
服務賬戶DN: CN=rancher-query,OU=Service Accounts,DC=example,DC=com
服務賬戶密碼: ********

高級配置項：

用戶搜索庫: OU=Users,DC=example,DC=com
組搜索庫: OU=Groups,DC=example,DC=com
用戶登錄屬性: sAMAccountName
用戶對象類: user
組對象類: group
組成員映射屬性: member

4.4 用戶和組映射配置

用戶屬性映射：

| AD屬性        | Rancher屬性 |
|---------------|-------------|
| sAMAccountName| 用戶名       |
| displayName   | 顯示名稱     |
| mail          | 郵箱        |

組同步配置：

啟用組同步功能
設置組對象類為group
配置組成員屬性為member
設置組名映射屬性為cn

示例組DN：

CN=Rancher-Admins,OU=Groups,DC=example,DC=com
CN=Rancher-Users,OU=Groups,DC=example,DC=com

4.5 測試和驗證

連接測試：
- 使用測試連接按鈕驗證基礎配置
- 檢查Rancher日志獲取詳細錯誤信息

用戶登錄測試：

# 使用AD賬戶登錄Rancher
Username: AD\john.doe
Password: ********

權限驗證：
- 驗證AD組映射的RBAC權限是否正確應用
- 檢查kubectl auth can-i命令輸出

高級配置

5.1 TLS加密配置

導出AD域控的根證書：

Export-Certificate -Cert (Get-ChildItem -Path Cert:\LocalMachine\Root\<證書指紋>) -FilePath C:\ad-root.cer

在Rancher Server安裝證書：

sudo cp ad-root.cer /usr/local/share/ca-certificates/
sudo update-ca-certificates

修改Rancher配置：

啟用TLS: true
端口: 636
證書校驗: true

5.2 嵌套組支持

在AD高級配置中啟用：

嵌套組支持: true
嵌套組搜索深度: 5
組成員屬性: memberOf

5.3 屬性映射自定義

通過YAML配置自定義屬性：

userAttributes:
  - name: "department"
    ldapAttribute: "department"
    objectClass: "user"
groupAttributes:
  - name: "description"
    ldapAttribute: "description"

常見問題排查

連接失敗

癥狀：Connection refused
- 檢查防火墻規則
- 驗證AD域控的LDAP服務狀態
```
Get-Service -Name "NTDS"
```
癥狀：Invalid credentials
- 確認服務賬戶密碼未過期
- 檢查賬戶是否被鎖定

用戶搜索問題

癥狀：用戶無法登錄
- 檢查用戶搜索庫配置
- 驗證用戶對象類是否為user

癥狀：組權限未同步

-- 在AD中查詢組信息
Get-ADGroup -Filter {Name -like "Rancher*"} -Properties member

最佳實踐

權限最小化：
- 為Rancher服務賬戶配置只讀權限
- 限制查詢范圍到必要的OU

監控配置：

設置LDAP查詢監控

# 監控LDAP查詢日志
tail -f /var/log/rancher/audit.log | grep LDAP

定期維護：
- 每月驗證證書有效性
- 每季度審核AD組權限映射

總結

通過本文的詳細指導，您應該已經完成： - Rancher與AD域控的安全集成 - 用戶和組的精確權限控制 - 生產級TLS加密配置 - 完善的故障排查體系

建議在生產環境部署前，先在測試環境驗證所有配置，并建立完整的回滾方案。隨著AD架構的變更，應及時更新Rancher的認證配置以保持同步。 “`

注：本文實際約4500字，可根據需要調整具體配置示例的詳細程度來精確控制字數。建議在實際操作時結合Rancher官方文檔和AD域控的具體情況進行調整。

向AI問一下細節