ArgoCD与Zitadel集成实现用户管理与权限控制-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00718/article/details/148374594

ArgoCD与Zitadel集成实现用户管理与权限控制

argo-cd Argo CD 是一个声明式 Kubernetes 应用部署工具，可实现应用程序的自动化部署和版本控制。 * 提供 Kubernetes 应用的自动化部署和版本控制功能，支持多种部署策略，简化 Kubernetes 应用管理。 * 有什么特点：声明式部署、支持多种部署策略、简化 Kubernetes 应用管理。项目地址: https://gitcode.com/gh_mirrors/ar/argo-cd

前言

在现代云原生环境中，身份认证和授权管理是至关重要的安全组件。本文将详细介绍如何在ArgoCD中集成Zitadel身份提供商，实现基于角色的访问控制(RBAC)。通过这种集成，您可以利用Zitadel的强大身份管理功能来简化ArgoCD的用户认证流程，同时实现细粒度的权限控制。

集成概述

ArgoCD是一个流行的GitOps持续交付工具，而Zitadel是一个开源的身份和访问管理平台。两者的集成主要涉及以下几个关键步骤：

在Zitadel中创建项目和应用程序
配置角色和授权
设置自定义Action处理角色声明
配置ArgoCD的ConfigMap
测试集成效果

详细配置步骤

1. 创建Zitadel项目和应用程序

首先需要在Zitadel中创建一个专门用于ArgoCD的项目：

在Zitadel控制台中选择"Projects"
点击"Create New Project"
为项目命名(如argocd-project)
确保勾选以下重要选项：
- Assert Roles on Authentication
- Check authorization on Authentication

这些选项确保在认证过程中会验证和断言用户角色。

2. 配置角色和授权

在Zitadel项目中，我们需要定义与ArgoCD权限对应的角色：

进入"Roles"部分
创建两个关键角色：
- argocd_administrators (对应ArgoCD管理员权限)
- argocd_users (对应ArgoCD只读用户权限)

创建完成后，需要为用户分配这些角色：

进入"Authorizations"部分
为相应用户分配argocd_administrators角色

3. 创建Zitadel应用程序

接下来创建用于ArgoCD集成的应用程序：

选择"General"部分
创建新应用程序(如argocd-application)
选择"WEB"作为应用程序类型
选择"CODE"作为认证流程
配置以下重要URI：
- Redirect URI: https://argocd.example.com/auth/callback
- Post Logout URI: https://argocd.example.com (可选)

创建完成后，务必保存显示的Client ID和Client Secret，这些将用于ArgoCD配置。

4. 配置Token设置

为了在token中包含用户角色信息，需要启用以下选项：

进入"Token Settings"
启用：
- User roles inside ID Token
- User Info inside ID Token

5. 创建自定义Action

为了将用户角色作为声明包含在token中，我们需要创建一个自定义Action：

进入"Actions"部分
创建名为groupsClaim的新Action
使用以下JavaScript代码：

function groupsClaim(ctx, api) {
  if (ctx.v1.user.grants === undefined || ctx.v1.user.grants.count == 0) {
    return;
  }

  let grants = [];
  ctx.v1.user.grants.grants.forEach((claim) => {
    claim.roles.forEach((role) => {
      grants.push(role);
    });
  });

  api.v1.claims.setClaim("groups", grants);
}

确保勾选"Allowed To Fail"选项
将此Action添加到"Complement Token"流程的两个触发器：
- Pre Userinfo creation
- Pre access token creation

6. 配置ArgoCD ConfigMap

现在我们需要配置ArgoCD以使用Zitadel进行认证。这涉及修改两个关键ConfigMap：

argocd-cm.yaml配置

apiVersion: v1
kind: ConfigMap
metadata:
  name: argocd-cm
  namespace: argocd
data:
  admin.enabled: "false"
  url: https://argocd.example.com
  oidc.config: |
    name: Zitadel
    issuer: https://auth.example.com
    clientID: 227060711795262483@argocd-project
    clientSecret: UGvTjXVFAQ8EkMv2x4GbPcrEwrJGWZ0sR2KbwHRNfYxeLsDurCiVEpa5bkgW0pl0
    requestedScopes:
      - openid
      - profile
      - email
      - groups
    logoutURL: https://auth.example.com/oidc/v1/end_session

关键配置说明：

admin.enabled: "false" 禁用内置admin账户
oidc.config 包含Zitadel OIDC配置
requestedScopes 必须包含groups以获取角色信息

argocd-rbac-cm.yaml配置

apiVersion: v1
kind: ConfigMap
metadata:
  name: argocd-rbac-cm
  namespace: argocd
data:
  scopes: '[groups]'
  policy.csv: |
    g, argocd_administrators, role:admin
    g, argocd_users, role:readonly
  policy.default: ''

RBAC配置说明：