Kubernetes 1.30：多 Webhook 和模块化授权变得更加容易

作者：Rita Zhang (Microsoft), Jordan Liggitt (Google), Nabarun Pal (VMware), Leigh Capili (VMware) |

在 Kubernetes 1.30 中，我们（SIG Auth）正在将结构化授权配置移至 beta 版。

今天的文章是关于授权：决定某人可以访问和不能访问的内容。查看昨天之前的文章，了解 Kubernetes v1.30 中有关身份验证（找出谁在执行任务，并检查他们是否是他们所说的那个人）的新内容。

简介

Kubernetes 不断发展以满足系统管理员和开发人员的复杂需求。Kubernetes 的一个关键方面是 API 服务器授权，它确保集群的安全性和完整性。直到最近，kube-apiserver 中的授权链配置在某种程度上是僵化的，仅限于一组命令行标志，并且在授权链中仅允许单个 webhook。这种方法虽然功能强大，但限制了集群管理员定义复杂、细粒度授权策略所需的灵活性。最新的结构化授权配置功能 (KEP-3221) 旨在通过引入一种更结构化和通用的方式来配置授权链来彻底改变这方面，重点是启用多个 webhook 并提供显式控制机制。

改进的必要性

集群管理员长期以来一直寻求在 API 服务器处理程序链中指定多个授权 webhook 的能力，并控制每个 webhook 的详细行为，如超时和失败策略。这种需求源于创建分层安全策略的愿望，其中请求可以按照特定顺序针对多个标准或规则集进行验证。以前的限制也使得难以动态配置授权器链，从而无法有效地管理复杂的授权场景。

结构化授权配置功能 通过引入一个配置文件格式来配置 Kubernetes API 服务器授权链来解决这些限制。此格式允许在授权链中指定多个 webhook（所有其他授权类型最多指定一次）。每个 webhook 授权器都有明确定义的参数，包括超时设置、失败策略以及使用 CEL 规则在调度到 webhook 之前预过滤请求的调用条件，从而帮助您避免不必要的调用。该配置还支持自动重新加载，确保可以动态应用更改，而无需重新启动 kube-apiserver。此功能解决了当前的限制，并为更有效地保护和管理 Kubernetes 集群开辟了新的可能性。

示例配置

以下是一个结构化授权配置示例，其中包含所有字段的描述、它们的默认值和可能的值。

apiVersion: apiserver.config.k8s.io/v1beta1
kind: AuthorizationConfiguration
authorizers:
  - type: Webhook
    # Name used to describe the authorizer
    # This is explicitly used in monitoring machinery for metrics
    # Note:
    #   - Validation for this field is similar to how K8s labels are validated today.
    # Required, with no default
    name: webhook
    webhook:
      # The duration to cache 'authorized' responses from the webhook
      # authorizer.
      # Same as setting `--authorization-webhook-cache-authorized-ttl` flag
      # Default: 5m0s
      authorizedTTL: 30s
      # The duration to cache 'unauthorized' responses from the webhook
      # authorizer.
      # Same as setting `--authorization-webhook-cache-unauthorized-ttl` flag
      # Default: 30s
      unauthorizedTTL: 30s
      # Timeout for the webhook request
      # Maximum allowed is 30s.
      # Required, with no default.
      timeout: 3s
      # The API version of the authorization.k8s.io SubjectAccessReview to
      # send to and expect from the webhook.
      # Same as setting `--authorization-webhook-version` flag
      # Required, with no default
      # Valid values: v1beta1, v1
      subjectAccessReviewVersion: v1
      # MatchConditionSubjectAccessReviewVersion specifies the SubjectAccessReview
      # version the CEL expressions are evaluated against
      # Valid values: v1
      # Required, no default value
      matchConditionSubjectAccessReviewVersion: v1
      # Controls the authorization decision when a webhook request fails to
      # complete or returns a malformed response or errors evaluating
      # matchConditions.
      # Valid values:
      #   - NoOpinion: continue to subsequent authorizers to see if one of
      #     them allows the request
      #   - Deny: reject the request without consulting subsequent authorizers
      # Required, with no default.
      failurePolicy: Deny
      connectionInfo:
        # Controls how the webhook should communicate with the server.
        # Valid values:
        # - KubeConfigFile: use the file specified in kubeConfigFile to locate the
        #   server.
        # - InClusterConfig: use the in-cluster configuration to call the
        #   SubjectAccessReview API hosted by kube-apiserver. This mode is not
        #   allowed for kube-apiserver.
        type: KubeConfigFile
        # Path to KubeConfigFile for connection info
        # Required, if connectionInfo.Type is KubeConfigFile
        kubeConfigFile: /kube-system-authz-webhook.yaml
        # matchConditions is a list of conditions that must be met for a request to be sent to this
        # webhook. An empty list of matchConditions matches all requests.
        # There are a maximum of 64 match conditions allowed.
        #
        # The exact matching logic is (in order):
        #   1. If at least one matchCondition evaluates to FALSE, then the webhook is skipped.
        #   2. If ALL matchConditions evaluate to TRUE, then the webhook is called.
        #   3. If at least one matchCondition evaluates to an error (but none are FALSE):
        #      - If failurePolicy=Deny, then the webhook rejects the request
        #      - If failurePolicy=NoOpinion, then the error is ignored and the webhook is skipped
      matchConditions:
      # expression represents the expression which will be evaluated by CEL. Must evaluate to bool.
      # CEL expressions have access to the contents of the SubjectAccessReview in v1 version.
      # If version specified by subjectAccessReviewVersion in the request variable is v1beta1,
      # the contents would be converted to the v1 version before evaluating the CEL expression.
      #
      # Documentation on CEL: https://kubernetes.top/docs/reference/using-api/cel/
      #
      # only send resource requests to the webhook
      - expression: has(request.resourceAttributes)
      # only intercept requests to kube-system
      - expression: request.resourceAttributes.namespace == 'kube-system'
      # don't intercept requests from kube-system service accounts
      - expression: "!('system:serviceaccounts:kube-system' in request.groups)"
  - type: Node
    name: node
  - type: RBAC
    name: rbac
  - type: Webhook
    name: in-cluster-authorizer
    webhook:
      authorizedTTL: 5m
      unauthorizedTTL: 30s
      timeout: 3s
      subjectAccessReviewVersion: v1
      failurePolicy: NoOpinion
      connectionInfo:
        type: InClusterConfig

以下配置示例说明了需要在不同的设置、优先级顺序和故障模式下指定多个 webhook 的实际场景。

保护已安装的 CRD

确保集群启动时自定义资源定义 (CRD) 的可用性一直是一个关键需求。拥有控制器协调这些 CRD 的障碍之一是为其提供保护机制，这可以通过多个授权 webhook 来实现。这在以前是不可能的，因为在 Kubernetes API 服务器授权链中指定多个授权 webhook 是根本不可能的。现在，借助结构化授权配置功能，管理员可以指定多个 webhook，从而提供 RBAC 无法满足的解决方案，尤其是在拒绝“非系统”用户对某些 CRD 的权限时。

假设此场景的以下内容

  • 已安装“受保护”的 CRD。
  • 它们只能由 admin 组中的用户修改。
apiVersion: apiserver.config.k8s.io/v1beta1
kind: AuthorizationConfiguration
authorizers:
  - type: Webhook
    name: system-crd-protector
    webhook:
      unauthorizedTTL: 30s
      timeout: 3s
      subjectAccessReviewVersion: v1
      matchConditionSubjectAccessReviewVersion: v1
      failurePolicy: Deny
      connectionInfo:
        type: KubeConfigFile
        kubeConfigFile: /files/kube-system-authz-webhook.yaml
      matchConditions:
      # only send resource requests to the webhook
      - expression: has(request.resourceAttributes)
      # only intercept requests for CRDs
      - expression: request.resourceAttributes.resource.resource = "customresourcedefinitions"
      - expression: request.resourceAttributes.resource.group = ""
      # only intercept update, patch, delete, or deletecollection requests
      - expression: request.resourceAttributes.verb in ['update', 'patch', 'delete','deletecollection']
  - type: Node
  - type: RBAC

防止不必要的嵌套 webhook

系统管理员希望在使用 Open Policy Agent 等框架将请求移交给 webhook 之前，对请求应用特定的验证。在过去，这将需要在一个添加到授权链的 webhook 中运行嵌套的 webhook，才能达到预期的结果。结构化授权配置功能简化了此过程，提供了一个结构化 API，以便在需要时选择性地触发其他 webhook。它还使管理员能够为每个 webhook 设置不同的失败策略，从而确保更一致和可预测的响应。

apiVersion: apiserver.config.k8s.io/v1beta1
kind: AuthorizationConfiguration
authorizers:
  - type: Webhook
    name: system-crd-protector
    webhook:
      unauthorizedTTL: 30s
      timeout: 3s
      subjectAccessReviewVersion: v1
      matchConditionSubjectAccessReviewVersion: v1
      failurePolicy: Deny
      connectionInfo:
        type: KubeConfigFile
        kubeConfigFile: /files/kube-system-authz-webhook.yaml
      matchConditions:
      # only send resource requests to the webhook
      - expression: has(request.resourceAttributes)
      # only intercept requests for CRDs
      - expression: request.resourceAttributes.resource.resource = "customresourcedefinitions"
      - expression: request.resourceAttributes.resource.group = ""
      # only intercept update, patch, delete, or deletecollection requests
      - expression: request.resourceAttributes.verb in ['update', 'patch', 'delete','deletecollection']
  - type: Node
  - type: RBAC
  - name: opa
    type: Webhook
    webhook:
      unauthorizedTTL: 30s
      timeout: 3s
      subjectAccessReviewVersion: v1
      matchConditionSubjectAccessReviewVersion: v1
      failurePolicy: Deny
      connectionInfo:
        type: KubeConfigFile
        kubeConfigFile: /files/opa-default-authz-webhook.yaml
      matchConditions:
      # only send resource requests to the webhook
      - expression: has(request.resourceAttributes)
      # only intercept requests to default namespace
      - expression: request.resourceAttributes.namespace == 'default'
      # don't intercept requests from default service accounts
      - expression: "!('system:serviceaccounts:default' in request.groups)"

下一步是什么？

从 Kubernetes 1.30 开始，该功能处于 beta 版，默认启用。对于 Kubernetes v1.31，我们预计该功能将保持在 beta 版，同时我们将获得更多用户的反馈。一旦准备好 GA，该功能标志将被删除，并且配置文件版本将升级到 v1。

在 结构化授权配置 Kubernetes 文档网站上了解有关此功能的更多信息。您还可以关注 KEP-3221 以跟踪即将发布的 Kubernetes 版本中的进展。

行动号召

在本文中，我们介绍了 Kubernetes v1.30 中结构化授权配置功能的优势以及一些实际场景的示例配置。要使用此功能，您必须使用 --authorization-config 命令行参数指定授权配置的路径。从 Kubernetes 1.30 开始，该功能处于 beta 版，默认启用。如果您想继续使用命令行标志而不是配置文件，这些标志将继续按原样工作。指定 --authorization-config 和 --authorization-modes/--authorization-webhook-* 将不起作用。您需要从 kube-apiserver 命令中删除较旧的标志。

以下 kind 集群配置在 API 服务器上设置该命令参数，以从 files 文件夹中的文件 (authorization_config.yaml) 加载 AuthorizationConfiguration。任何所需的 kubeconfig 和证书文件也可以放在 files 目录中。

kind: Cluster
apiVersion: kind.x-k8s.io/v1alpha4
featureGates:
  StructuredAuthorizationConfiguration: true  # enabled by default in v1.30
kubeadmConfigPatches:
  - |
    kind: ClusterConfiguration
    metadata:
      name: config
    apiServer:
      extraArgs:
        authorization-config: "/files/authorization_config.yaml"
      extraVolumes:
      - name: files
        hostPath: "/files"
        mountPath: "/files"
        readOnly: true    
nodes:
- role: control-plane
  extraMounts:
  - hostPath: files
    containerPath: /files

我们很乐意听到您对此功能的反馈。特别是，我们希望 Kubernetes 集群管理员和授权 webhook 实现者在构建与此新 API 的集成时提供反馈。请在 Kubernetes Slack 上的 #sig-auth-authorizers-dev 频道上联系我们。

如何参与

如果您有兴趣帮助开发此功能、分享反馈或参与任何其他正在进行的 SIG Auth 项目，请在 Kubernetes Slack 上的 #sig-auth 频道上联系我们。

您也可以参加每隔一个星期三举行的双周 SIG Auth 会议。

致谢

此功能由来自多家不同公司的贡献者推动。我们要非常感谢每一位为此付出时间和努力的人。