Alibaba Cloud Service Mesh:OPA ポリシーを使用してきめ細かいアクセス制御を実装する

ステップ 1：OPA プラグインと OPA のインジェクション範囲を制御する機能を有効にする

1. ASM コンソール にログインします。 左側のナビゲーションペインで、[service Mesh] > [メッシュ管理] を選択します。

2. [メッシュ管理] ページで、ASM インスタンスの名前をクリックします。 左側のナビゲーションペインで、[メッシュセキュリティセンター] > [OPA ポリシー] を選択します。

3. [OPA ポリシー] ページで、[open Policy Agent (OPA) プラグインを有効にする] と [OPA インジェクション範囲制御を有効にする] を選択し、[OPA を有効にする] をクリックします。 [注記] メッセージで、[OK] をクリックします。

手順 2：OPA ポリシーを作成する

ASM インスタンスのコントロールプレーンで OPA ポリシーを作成すると、OPA ポリシーはデータプレーンのクラスターにプッシュされます。 その後、クラスターの Pod 内の OPA は、OPA ポリシーを使用してきめ細かいアクセス制御を実装します。 次の方法を使用して OPA ポリシーを作成できます。

ステップ 3: OPA を挿入する

ASMインスタンスにサンプル アプリケーション Bookinfo をデプロイし、OPAが Bookinfo アプリケーションの各ポッドに挿入されているかどうかを確認します。

1. ASM インスタンスに Bookinfo アプリケーションをデプロイします。詳細については、「ASM インスタンスへのアプリケーションのデプロイ」をご参照ください。

2. イングレスゲートウェイ、Istio ゲートウェイ、および仮想サービスを作成します。詳細については、「Istio リソースを使用してサービスの異なるバージョンにトラフィックをルーティングする」をご参照ください。

3. Bookinfo アプリケーションの各アプリケーションのポッドに OPA が挿入されているかどうかを確認します。

   1. ACK コンソール にログインします。左側のナビゲーションペインで、[クラスター] をクリックします。

   2. [クラスター] ページで、管理するクラスターを見つけ、その名前をクリックします。左側のペインで、[ワークロード] > [ポッド] を選択します。

   3. [ポッド] ページで、既定[名前空間] ドロップダウンリストから を選択し、目的のアプリケーションのポッド名をクリックします。

      [コンテナー] タブで、istio-proxy という名前のサイドカープロキシと opa-istio という名前の OPA が各コンテナーに挿入されていることがわかります。各アプリケーションのコンテナーを順番にチェックして、サイドカープロキシと OPA が各コンテナーに挿入されていることを確認します。

手順 4：OPA ポリシーによってアクセス制御が想定どおりに実装されていることを確認する

1. /productpage を含む URL を使用してアプリケーションにアクセスするには、次のコマンドを実行します。

   curl -X GET http://<IP address of the ingress gateway>/productpage --user guest1:password -I

   予期される出力:

   HTTP/1.1 200 OK

2. /api/v1/products を含む URL を使用してアプリケーションにアクセスするには、次のコマンドを実行します。

   curl -X GET http://<IP address of the ingress gateway>/api/v1/products --user guest1:password -I

   予期される出力:

   HTTP/1.1 403 Forbidden

   予期される結果は、guest ロールが guest1 ユーザーに割り当てられており、guest1 ユーザーは /productpage を含む URL を使用してアプリケーションにアクセスする権限を持っているが、/api/v1/products を含む URL を使用してはアクセスできないことを示しています。

3. /productpage を含む URL を使用してアプリケーションにアクセスするには、次のコマンドを実行します。

   curl -X GET http://{{IP address of the ingress gateway}}/productpage --user admin1:password -I

   予期される出力:

   HTTP/1.1 200 OK

4. /api/v1/products を含む URL を使用してアプリケーションにアクセスするには、次のコマンドを実行します。

   curl -X GET http://<IP address of the ingress gateway>/api/v1/products --user admin1:password -I

   予期される出力:

   HTTP/1.1 200 OK

   予期される結果は、admin ロールが admin1 ユーザーに割り当てられており、admin1 ユーザーは /productpage または /api/v1/products を含む URL を使用してアプリケーションにアクセスする権限を持っていることを示しています。上記の結果は、定義された OPA ポリシーが期待どおりにアクセス制御を実装していることを示しています。

手順 5：OPA ポリシーを動的に更新する

次のコマンドを実行して、OPA ポリシーの編集 UI に移動します。

kubectl edit asmopapolicy bookinfo-opa -n default 

コマンド出力で、OPA ポリシーを編集して、guest1 ユーザーに guest ロールと admin ロールの両方を割り当てます。

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMOPAPolicy
metadata:
  name: bookinfo-opa
  namespace: default
spec:
  policy: |
    package istio.authz
    import input.attributes.request.http as http_request
    allow {
        // ユーザーのロール
        roles_for_user[r]
        // 必要なロール
        required_roles[r]
    }
    roles_for_user[r] {
        // ユーザー名からロールを取得
        r := user_roles[user_name][_]
    }
    required_roles[r] {
        // ロールから権限を取得
        perm := role_perms[r][_]
        // メソッドとパスが一致するか確認
        perm.method = http_request.method
        perm.path = http_request.path
    }
    user_name = parsed {
        // Authorization ヘッダーからユーザー名を取得
        [_, encoded] := split(http_request.headers.authorization, " ")
        [parsed, _] := split(base64url.decode(encoded), ":")
    }
    user_roles = {
        // ユーザーとロールのマッピング
        "guest1": ["guest", "admin"],
        "admin1": ["admin"]
    }
    role_perms = {
        // ロールと権限のマッピング
        "guest": [
            {"method": "GET",  "path": "/productpage"},
        ],
        "admin": [
            {"method": "GET",  "path": "/productpage"},
            {"method": "GET",  "path": "/api/v1/products"},
        ],
    }

• user_roles: ユーザーに割り当てられたロール。この例では、guestロールとadminロールがguest1ユーザーに割り当てられ、adminロールがadmin1ユーザーに割り当てられています。

• role_perms: 各ロールの権限。この例では、guestロールには /productpage を含む URL を使用してアプリケーションにアクセスする権限が付与され、adminロールには /productpage または /api/v1/products を含む URL を使用してアプリケーションにアクセスする権限が付与されます。

手順 6：OPA ポリシーが動的に更新されることを確認する

1. /productpage を含む URL を使用してアプリケーションにアクセスするために、次のコマンドを実行します。

   curl -X GET http://<IP address of the ingress gateway>/productpage --user guest1:password -I

   期待される出力:

   HTTP/1.1 200 OK

2. /api/v1/products を含む URL を使用してアプリケーションにアクセスするために、次のコマンドを実行します。

   curl -X GET http://<IP address of the ingress gateway>/api/v1/products --user guest1:password -I

   期待される出力:

   HTTP/1.1 200 OK

   OPA ポリシーが更新される前は、guest1 ユーザーは /productpage を含む URL を使用してアプリケーションにアクセスできますが、/api/v1/products を含む URL を使用することはできません。 OPA ポリシーが更新された後、guest1 ユーザーは /productpage または /api/v1/products を含む URL を使用してアプリケーションにアクセスできます。 これらの結果は、OPA ポリシーが動的に更新されたことを示しています。

サンプルシナリオ

シナリオ 1：JWT を確認してリクエストを認証する

アプリケーションがリクエストを受信すると、OPA はリクエストのヘッダーにある JSON Web Token（JWT）を確認します。アプリケーションへのアクセス要求は、JWT が指定された要件を満たしている場合にのみ許可されます。

次の OPA ポリシーは、リクエストが GET メソッドを使用し、リクエストに含まれる JWT の Role フィールドが guest に設定され、userGroup フィールドが visitor に設定されている場合にのみ、Productpage アプリケーションへのアクセス要求が許可されることを定義しています。

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMOPAPolicy
metadata:
  name: policy-jwt
  namespace: default
spec:
  policy: |
    package istio.authz

    allow {
      input.attributes.request.http.method == "GET"
      input.parsed_path[0] == "productpage"
      // 証明書 'B41BD5F462719C6D6118E673A2389' を設定します
      io.jwt.verify_hs256(bearer_token, "B41BD5F462719C6D6118E673A2389")
      claims.Role == "guest"
      claims.userGroup == "visitor"
    }
    claims := payload {
       [_, payload, _] := io.jwt.decode(bearer_token)
    }
    bearer_token := t {
      v := input.attributes.request.http.headers.authorization
      startswith(v, "Bearer ")
      t := substring(v, count("Bearer "), -1)
    }

• input.attributes.request.http.method: リクエストメソッド。この例では、値は GET に設定されています。

• input.parsed_path[0]: アクセスされるアプリケーション。

• claims.Role: JWT の Role フィールドの期待値。この例では、値は guest に設定されています。

• claims.userGroup: JWT の userGroup フィールドの期待値。この例では、値は visitor に設定されています。

curl --location --request GET 'http://{イングレスゲートウェイの IP アドレス}/productpage' \
--header 'Authorization: Bearer 
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiZ3Vlc3QxIiwiUm9sZSI6Imd1ZXN0IiwidXNlckdyb3VwIjoidmlzaXRvciJ9.44OnUFZwOzSWzC7hyVfcle-uYk8byv7q_BBxS10AEWc'

期待される出力：

200

ステータスコード 200 が返されます。これは、Role フィールドが guest に設定され、userGroup フィールドが visitor に設定された JWT を含む GET リクエストを使用して Productpage アプリケーションにアクセスできることを示します。無効な JWT を使用した場合、またはリクエストに JWT が含まれていない場合は、エラーコード 403 が返されます。これは、Productpage アプリケーションへのアクセス要求が拒否されたことを示します。

シナリオ 2：HTTP リクエストボディと JWT を確認してリクエストを認証する

OPA ポリシーを使用して、リクエストボディの username パラメーターの値がリクエストの JWT の Role フィールドの値と同じである場合にのみ、HTTP リクエストを許可できます。

次の OPA ポリシーは、リクエストが GET メソッドを使用し、リクエストボディの username パラメーターの値がリクエストの JWT の Role フィールドの値と同じであり、JWT の userGroup フィールドが manager に設定されている場合にのみ、Productpage アプリケーションへのアクセス要求が許可されることを定義しています。

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMOPAPolicy
metadata:
  name: policy-body
  namespace: default
spec:
  policy: |
    package istio.authz

    allow {
      input.attributes.request.http.method == "GET"
      input.parsed_path[0] == "productpage"
      io.jwt.verify_hs256(bearer_token, "B41BD5F462719C6D6118E673A2389")
      claims.Role == input.parsed_body.username
      claims.userGroup == "manager"
    }
    claims := payload {
       [_, payload, _] := io.jwt.decode(bearer_token)
    }
    bearer_token := t {
      v := input.attributes.request.http.headers.authorization
      startswith(v, "Bearer ")
      t := substring(v, count("Bearer "), -1)
    }

• input.attributes.request.http.method: リクエストメソッド。この例では、値は GET に設定されています。

• input.parsed_path[0]: アクセスされるアプリケーション。

• claims.Role: JWT の Role フィールドの期待値。この例では、値は input.parsed_body.username に設定されています。これは、リクエストボディの username パラメーターの値がリクエストの JWT の Role フィールドの値と同じである必要があることを示します。

• claims.userGroup: JWT の userGroup フィールドの期待値。この例では、値は manager に設定されています。

curl --location --request GET 'http://{イングレスゲートウェイの IP アドレス}/productpage' \
--header 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiZ3Vlc3QxIiwiUm9sZSI6ImFkbWluIiwidXNlckdyb3VwIjoibWFuYWdlciJ9.pAUvTeONHF-i5Ps-EUYYXk-hnaz-j-ZgP_wXJZMBiR0' \
--header 'Content-Type: application/json' \
--header 'Cookie: session=eyJ1c2VyIjoiYWRtaW4ifQ.YRz90g.GT34_5BqlFTwGqabZk_qGZzxYQ0' \
--data-raw '{
    "username":"admin",
    "password":"12****"
                

期待される出力：

200

ステータスコード 200 が返されます。これは、Role フィールドの値がリクエストボディの username パラメーターの値と同じであり、userGroup フィールドが manager に設定された JWT を含む GET リクエストを使用して Productpage アプリケーションにアクセスできることを示します。無効な JWT を使用した場合、またはリクエストに JWT が含まれていない場合は、エラーコード 403 が返されます。これは、Productpage アプリケーションへのアクセス要求が拒否されたことを示します。

シナリオ 3：より多くのコンテキスト情報を確認してリクエストを認証する

シナリオ 2 で確認された情報に加えて、OPA ポリシーを使用してより多くのコンテキスト情報を確認できます。この例では、JWT の username フィールドの値は、bookinfo_managers フィールドで指定された値の範囲内にある必要があります。

次の OPA ポリシーは、リクエストが GET メソッドを使用し、リクエストボディの username パラメーターの値がリクエストの JWT の Role フィールドの値と同じであり、JWT の username フィールドの値が bookinfo_managers フィールドで指定された値の範囲内であり、JWT の userGroup フィールドが manager に設定されている場合にのみ、Productpage アプリケーションへのアクセス要求が許可されることを定義しています。

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMOPAPolicy
metadata:
  name: policy-range
  namespace: default
spec:
  policy: |
    package istio.authz
    bookinfo_managers = [{"name": "user1"}, {"name": "user2"}, {"name": "user3"}] // bookinfo_managers を定義します

    allow {
      input.attributes.request.http.method == "GET"
      input.parsed_path[0] == "productpage"
      io.jwt.verify_hs256(bearer_token, "B41BD5F462719C6D6118E673A2389")
      claims.Role == input.parsed_body.username
      claims.userGroup == "manager"
      claims.username == bookinfo_managers[_].name
    }
    claims := payload {
       [_, payload, _] := io.jwt.decode(bearer_token)
    }
    bearer_token := t {
      v := input.attributes.request.http.headers.authorization
      startswith(v, "Bearer ")
      t := substring(v, count("Bearer "), -1)
    }

• input.attributes.request.http.method: リクエストメソッド。この例では、値は GET に設定されています。

• input.parsed_path[0]: アクセスされるアプリケーション。

• claims.Role: JWT の Role フィールドの期待値。この例では、値は input.parsed_body.username に設定されています。これは、リクエストボディの username パラメーターの値がリクエストの JWT の Role フィールドの値と同じである必要があることを示します。

• claims.userGroup: JWT の userGroup フィールドの期待値。この例では、値は manager に設定されています。

• claims.username: JWT の username フィールドの期待値。この例では、値は bookinfo_managers[_].name に設定されています。これは、JWT の username フィールドの値が bookinfo_managers フィールドで指定された値の範囲内にある必要があることを示します。

Productpage アプリケーションにアクセスするには、次のコマンドを実行します。

curl --location --request GET 'http://{イングレスゲートウェイの IP アドレス}/productpage' \
--header 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6InVzZXIxIiwiUm9sZSI6ImFkbWluIiwidXNlckdyb3VwIjoibWFuYWdlciJ9.2X0Fmb96jBexLcVm_55t8ZY6XveSxUAsQ1j3ar5dI_g' \
--header 'Content-Type: application/json' \
--header 'Cookie: session=eyJ1c2VyIjoiYWRtaW4ifQ.YRz90g.GT34_5BqlFTwGqabZk_qGZzxYQ0' \
--data-raw '{
    "username":"admin",
    "password":"12****"
}'

期待される出力：

200

Role フィールドの値がリクエストボディの username パラメーターの値と同じであり、JWT の username フィールドの値が bookinfo_managers フィールドで指定された値の範囲内であり、userGroup フィールドが manager に設定された JWT を含む GET リクエストを使用して、Productpage アプリケーションにアクセスできることを示します。無効な JWT を使用した場合、またはリクエストに JWT が含まれていない場合は、エラーコード 403 が返されます。これは、Productpage アプリケーションへのアクセス要求が拒否されたことを示します。

FAQ

ポッドがOPAポリシーを使用しているかどうかを確認するにはどうすればよいですか？

OPAは、ビジネスコンテナと同じポッドにサイドカーモードでデプロイされます。 ポッドがOPAポリシーを使用しているかどうかを確認するには、ポッドに接続して次のコマンドを実行します。

curl 127.0.0.1:15081/v1/policies

Regoで記述されたポリシーを確認するにはどうすればよいですか？

OPAの公式Webサイトには、Regoで記述されたポリシーを確認するために使用できるオンラインツールが用意されています。

参考資料

ConfigMap を使用して OPA ポリシーを定義する場合は、次のトピックをご覧ください。

• OPA を使用して ASM できめ細かいアクセス制御を実装する

• ASM で OPA ポリシーを動的に更新する