[发明专利]一种容器服务用户认证方法

权利要求书

1.一种容器服务用户认证方法，其特征在于，包括以下步骤：

A)用户访问keycloak集群换取令牌token；

B)将令牌token放在页眉header中，访问容器服务后台应用程序编程接口API；

C)容器服务对用户进行认证，若通过认证则执行步骤D)，若未能通过认证则拒绝用户访问；

D)配置相关集群，对用户进行认证并限制可访问APIServer资源。

2.根据权利要求1所述的容器服务用户认证方法，其特征在于：所述步骤C)中，容器服务对用户进行认证，包括对令牌token格式及过期验证，组group认证，角色role认证和统一资源定位符url认证。

3.根据权利要求2所述的容器服务用户认证方法，其特征在于：所述容器服务对令牌token格式及过期验证是指容器服务后台获取用户令牌token后，对令牌token进行解析，验证令牌token的格式以及令牌token是否过期，若令牌token格式不正确或者已过期，则拒绝用户访问。

4.根据权利要求2所述的容器服务用户认证方法，其特征在于：所述容器服务对组group认证是指解析令牌token后，检查用户是否在正确的组group中，若不在，则拒绝用户访问。

5.根据权利要求2所述的容器服务用户认证方法，其特征在于：所述容器服务对角色role认证是指解析令牌token后，检查用户的角色role，检查用户是否具有规定的角色role，若没有，则拒绝用户访问。

6.根据权利要求2所述的容器服务用户认证方法，其特征在于：所述容器服务对统一资源定位符url认证是指预置统一资源定位符url权限文件，根据获取的用户的角色role，去检查用户是否具有访问该统一资源定位符url的权限，若没有，则拒绝用户访问。

7.根据权利要求1所述的容器服务用户认证方法，其特征在于：所述步骤D)中，用户通过登录获取的令牌token用来访问相关集群的APIServer，进而获取相关资源，要通过令牌token进行认证，对kubernetes集群的APIServer配置认证所需相关配置项，并配置用户所能访问资源限制。

8.根据权利要求7所述的容器服务用户认证方法，其特征在于：所述kubernetes集群的APIServer配置认证所需相关配置项包括--oidc-issuer-url，--oidc-client-id和--oidc-username-claim；其中--oidc-issuer-url为keycloak地址，--oidc-client-id为用户对应的keycloak中的clientid，--oidc-username-claim为jwt声明使用的用户名。

9.根据权利要求7所述的容器服务用户认证方法，其特征在于：所述配置用户所能访问资源限制包括配置clusterrole与clusterrolebingding，在clusterrole中配置用户可访问的kubernetes集群资源，在clusterrolebingding中绑定相关用户。