[CKA] 46. Authorization

Date

2025/01/15

Why Authorization?

관리자, 개발자, 테스터, 모니터링 애플리케이션 등 클러스터에 액세스하는 계정들은 다양하다. 하지만 모든 클러스터의 계정들이 같은 접근 권한을 가지게 하는 것은 운영 및 보안상에 있어 문제가 발생할 수 있다. 따라서 클러스터 내에서 권한 부여를 함으로써 사용자에 대한 접근을 제한할 수 있다.

Mechanisms

Node

kube-apiserver에는 사용자와 kublet이 접근한다. 사용자는 관리 목적으로 접근을 시도하고, kubelet은 클러스터 노드의 관리 프로세스를 위해 접근한다.

kublet은 API Server에 접근하여 서비스, 엔드포인트, 노드, 파드에 대한 정보를 읽는다. 또한 노드의 상태와 같은 정보를 보고하여 클러스터의 상태를 유지한다.

Read	Write
Services	Node status
Endpoints	Pod status
Nodes	Events
Pods

이러한 요청들은 Node Authorizer라는 시스템에 의해 처리된다.

Node Authorizer는 system:node 그룹에게 클러스터 내에 접근과 관련된 권한을 부여한다. kubelet은 system:node 그룹의 일부분으로, 인증서에서 system:node: 를 prefix로 가진다.

따라서 kubelet은 Node Authorizer에게 클러스터의 접근과 관리 프로세스에 대한 권한을 부여받는다. 이는 API Server에 대한 내부 접근이다.

참고: XLI. Generate Certificates - Kublet

ABAC

API Server에 대한 외부 접근을 관리하기 위한 권한 부여 방식 중 하나는 ABAC이다.

Attribute Based Access Control은 사용자에게 속성이나 그룹에 따라 특정권한을 부여하는 방식이다.

{"kind": "Policy", "spec": {"user":"dev-user", "namespace": "*", "resource": "pods", "apiGroup": "*"}}
{"kind": "Policy", "spec": {"user":"dev-user-2", "namespace": "*", "resource": "pods", "apiGroup": "*"}}
{"kind": "Policy", "spec": {"group":"dev-user", "namespace": "*", "resource": "pods", "apiGroup": "*"}}
{"kind": "Policy", "spec": {"user":"security-1", "namespace": "*", "resource": "csr", "apiGroup": "*"}}
JSON
복사

ABAC 방식은 각 사용자나 그룹에 대하여 특정 형식으로 정책을 정의한 정책 파일을 생성하여, 그 파일을 API 서버에 전달해야 한다. 보안 설정을 추가하거나 변경할 때마다 정책 파일을 수정하고 kube-apiserver를 재시작해야한다는 점이 단점이다.

RBAC

액세스 관리에 더 표준적인 접근법으로 RBAC을 사용한다.

Role Based Access Control은 사용자나 그룹에 대해 권한을 부여하는 것이 대신 역할을 정의한다. 적절한 권한을 가진 집합으로 역할을 생성하여 해당 역할에 사용자나 그룹을 연결한다. 역할을 수정하면 연결된 모든 사용자의 권한이 변경된다.

Webhook

쿠버네티스 내장 메커니즘이 아닌 Open Policy Agent(OPA)와 같이 서드파티를 통해 외부에서 권한을 관리한다면 Webhook을 사용할 수 있다.

쿠버네티스는 사용자와 그의 접근 요구 사항에 대한 정보를 외부 애플리케이션에 전달하기 위해 API 호출을 수행한다. 외부 앱은 제공된 정보를 바탕으로 사용자의 접근을 허용할지 말지 결정하고, 그 응답에 따라 사용자는 접근을 허가받게 된다.

AlwaysAllow & AlwaysDeny

AlwaysAllow와 AlwaysDeny는 이름에서 알 수 있듯 어떤 승인 확인도 없이 모든 요청을 허용하거나 거절하는 권한 부여 방식이다.

Configure Modes

권한 부여에 대한 다양한 모드들은 kube-apiserver의 authorization-mode 옵션을 통해 설정된다. 옵션의 기본값은 AlwaysAllow이며, 여러 모드를 설정하는 것이 가능하다.

Multi-mode

여러 모드가 지정된 경우에는 지정된 순서대로 각각의 요청에 대한 권한이 부여된다.

사용자가 Node, RBAC, Webhook을 지정했다고 가정한다면, 먼저 Node Authorizer가 처리한다. Node Authorizer는 노드 요청만 처리하기 때문에 요청을 거부한다.

모듈이 요청을 거부하면 다음 모듈로 전달된다. 다음 모듈인 RBAC이 사용자를 확인하고 승인한다면, 더이상 다음 모듈로 요청이 전달되지 않는다.