🔵 عنوان مقاله
Kubernetes RBAC authorizing HTTP proxy
🟢 خلاصه مقاله:
** این مقاله الگوی یک HTTP proxy را توضیح می‌دهد که برای مجازسازی درخواست‌ها به RBAC در Kubernetes تکیه می‌کند. پراکسی هویت کاربر را با TokenReview یا OIDC تأیید می‌کند، سپس با ارسال SubjectAccessReview به API سرور می‌پرسد آیا کاربر برای عمل متناظر با مسیر و متد HTTP مجاز است یا نه. در صورت تأیید، درخواست به سرویس مقصد هدایت می‌شود و هدرهای هویتی امن تزریق می‌گردد؛ در غیر این صورت، پاسخ 403 برمی‌گردد. این راهکار می‌تواند به‌صورت sidecar، به‌عنوان یک Deployment مستقل، یا از طریق external auth در Ingressهایی مانند NGINX/Envoy پیاده‌سازی شود. برای کارایی بهتر، کش نتایج SAR با TTL کوتاه، همگام‌سازی با تغییرات RBAC، و fail-closed توصیه می‌شود. از نظر امنیتی باید مرز اعتماد روشن باشد: هدرهای هویتی کلاینت حذف/بازنویسی شوند، ارتباطات TLS/mTLS باشد، و دسترسی ServiceAccount پراکسی حداقلی بماند. این الگو به‌ویژه برای داشبوردها و سرویس‌های چندمستاجری مفید است و از سیاست‌های آشنای RBAC برای کنترل یکنواخت و قابل ممیزی استفاده می‌کند.
#Kubernetes #RBAC #HTTPProxy #Ingress #Envoy #NGINX #CloudSecurity #ZeroTrust
🟣لینک مقاله:
https://ku.bz/pQqpkgLM7
➖➖➖➖➖➖➖➖
👑 @DevOps_Labdon
Kubernetes RBAC authorizing HTTP proxy
🟢 خلاصه مقاله:
** این مقاله الگوی یک HTTP proxy را توضیح می‌دهد که برای مجازسازی درخواست‌ها به RBAC در Kubernetes تکیه می‌کند. پراکسی هویت کاربر را با TokenReview یا OIDC تأیید می‌کند، سپس با ارسال SubjectAccessReview به API سرور می‌پرسد آیا کاربر برای عمل متناظر با مسیر و متد HTTP مجاز است یا نه. در صورت تأیید، درخواست به سرویس مقصد هدایت می‌شود و هدرهای هویتی امن تزریق می‌گردد؛ در غیر این صورت، پاسخ 403 برمی‌گردد. این راهکار می‌تواند به‌صورت sidecar، به‌عنوان یک Deployment مستقل، یا از طریق external auth در Ingressهایی مانند NGINX/Envoy پیاده‌سازی شود. برای کارایی بهتر، کش نتایج SAR با TTL کوتاه، همگام‌سازی با تغییرات RBAC، و fail-closed توصیه می‌شود. از نظر امنیتی باید مرز اعتماد روشن باشد: هدرهای هویتی کلاینت حذف/بازنویسی شوند، ارتباطات TLS/mTLS باشد، و دسترسی ServiceAccount پراکسی حداقلی بماند. این الگو به‌ویژه برای داشبوردها و سرویس‌های چندمستاجری مفید است و از سیاست‌های آشنای RBAC برای کنترل یکنواخت و قابل ممیزی استفاده می‌کند.
#Kubernetes #RBAC #HTTPProxy #Ingress #Envoy #NGINX #CloudSecurity #ZeroTrust
🟣لینک مقاله:
https://ku.bz/pQqpkgLM7
➖➖➖➖➖➖➖➖
👑 @DevOps_Labdon
GitHub
GitHub - brancz/kube-rbac-proxy: Kubernetes RBAC authorizing HTTP proxy for a single upstream.
Kubernetes RBAC authorizing HTTP proxy for a single upstream. - brancz/kube-rbac-proxy
❤1