Open Source Identity Infrastructure and Services 사용자 관리, 권한 및 역할 관리, OAuth 2.0 및 OpenID

• ORY Hydra
  • OAuth 2.0 및 OpenID Connect 공급자입니다.
• ORY Oathkeeper
  • 아이디 및 액세스 프록시입니다.
• ORY Keto
  • 액세스 제어 서버입니다.
• ORY Kratos
  • ID 관리 서버입니다.

• 데이터저장
  • RDBMS(PostgreSQL, MySQL, SQLite)에 저장
  • CockroachDB 베타
  • 메모리 (dsn 을 memory 로 지정)

• https://k8s.ory.sh/helm/
• https://github.com/ory/k8s
• https://k8s.ory.sh/helm/hydra.html
• https://k8s.ory.sh/helm/oathkeeper.html
• https://k8s.ory.sh/helm/hydra-maester.html
• https://k8s.ory.sh/helm/oathkeeper-maester.html

helm repo add ory https://k8s.ory.sh/helm/charts
helm repo update

개발 진행중인 것으로 보이고, hydra, oathkeeper 정도만 들어 있는 듯 함. 문서 부실.

docker https://github.com/ory/examples/tree/master/full-stack

git clone https://github.com/ory/examples.git ory-example
cd ory-example
make start-full-stack

5분 정도 대기후.. 로그 확인

docker logs hydra-bc_postgresd_1
docker logs hydra-bc_keto-migrate_1
docker logs hydra-bc_oathkeeper-migrate_1
docker logs hydra-bc_hydra-migrate_1
docker logs hydra-bc_services_1

서비스 확인

$ curl http://localhost:4445/clients
$ curl http://localhost:4456/rules
$ curl http://localhost:4466/engines/acp/ory/exact/policies
$ curl http://localhost:4466/engines/acp/ory/exact/roles

Open Policy Agent 엔진을 사용

• https://github.com/open-policy-agent/opa
• https://www.openpolicyagent.org/docs/latest/

• https://www.ory.sh/docs/keto/engines/acp-ory
• Access Control Policy DSL 모델을 사용함.
• Role Based Access Control(RBAC)는 미구현된 상태(개발 리소스가 없다고)

ACL 구성

• subjects : "identity, user"

• resources : ["member", "service", "collection" ]

• actions : ["delete", "create", "read", "modify"]

  • 리소스 사용 패턴(임의의 값 셋팅 가능)

• effect : "allow/deny"

  • 리소스에 대한 접근제어 허용여부 (임의의 값 셋팅 가능)

• ory policies

[{
  "subjects": ["role:owner"],
  "resources": [
    "resources:member",
    "resources:service",
    "resources:collection"
  ],
  "actions": ["delete", "create", "read", "modify"],
  "effect": "allow"
},
{
  "subjects": ["role:admin"],
  "resources": [
    "resources:service",
    "resources:collection"
  ],
  "actions": ["delete", "create", "read", "modify"],
  "effect": "allow"
},
{
  "subjects": ["role:admin"],
  "resources": [
    "resources:member"
  ],
  "actions": ["read"],
  "effect": "allow"
},
{
  "subjects": ["role:user"],
  "resources": [
    "resources:member",
    "resources:service",
    "resources:collection"
  ],
  "actions": ["read"],
  "effect": "allow"
}
]

RBAC 와 정확히 매칭되지 않기 때문에 RBAC 룰과 비슷한 효과를 내려면 https://www.ory.sh/docs/keto/sdk/api#get-an-ory-access-control-policy-role roles 에 role-member 데이터로 그룹화한 role 을 생성하고, policy api 에 subjects에 role 그룹을 지정해주는 방식으로 진행하면 되겠다.

member 데이터

• 키 member:kakao.com:heshed

[
  {"id": "role:owner", "members": ["member:kakao.com:heshed", "member:kakao.com:heshed2"]},
  {"id": "role:admin", "members": ["member:kakao.com:heshed", "member:kakao.com:heshed2"]}
  {"id": "role:user", "members": ["member:kakao.com:heshed", "member:kakao.com:heshed2"]}
]

keto는 string 매칭, glob 패턴매칭 URNs, 정규표현식, 조건문들, CIDR 조건, Subject 조건 등 다양한 기능을 제공한다. 자세한 사항은 https://www.ory.sh/docs/keto/engines/acp-ory 에서 확인할 수 있다.

{
  "subjects": ["users:*"],
  "actions": ["get", "create"],
  "resources": ["resources:articles:*", "resources:{accounts,profiles}:*"],
  "effect": "allow"
}

• scope 충돌을 방지하기 위해 URN 네이밍을 작성하도록 한다.

Do not: my-resource
Do: myorg.com:my-resource

Do not: myorg.com:<subject-id>, myorg.com:<resource-id>, myorg.com:<action-id>
Do: myorg.com:subjects:<subject-id>, myorg.com:resources:<resource-id>, myorg.com:actions:<action-id>
Do: subjects:myorg.com:<subject-id>, resources:myorg.com:<resource-id>, actions:myorg.com:<action-id>

• Multi-Tenant Systems

Do: resources:myorg.com:tenants:<tenant-id>:<resource-id>

일부 환경에는 해당 조직에 속한 서브조직 및 프로젝트가 있다. 이러한 상황에서 다음 URN semantics를 사용한다.

Do: resources:myorg.com:organizations:<organization-id>:projects:<project-id>:<resource-id>

• incoming HTTP 리퀘스트에 대해서 권한 체크를 수행한다.

• 클라우드 아키텍처에서 정책수행지점으로 사용할 수 있다. reverse proxy로 단독으로 실행하거나, 다른 API Gateway 제품과 플러그인처럼 결합하여 사용이 가능하다. (Kong, Nginx, Envoy, AWS API Gateway,...)

• 구현한 문제 도메인과 스코프는 Zero-Trust Network Architecture, Identity And Access Proxy (IAP)라고 부른다. (https://www.beyondcorp.com/)

• ORY Oathkeeper 는 ORY Hydra, ORY Keto 와 단독으로 동작을 잘하며, Oathkeeper's Access Control Decision API 는 다른 제품들과도 잘 결합하여 동작한다.

  • Ambassador via auth service
  • Envoy via the External Authorization HTTP Filter
  • AWS API Gateway via Custom Authorizers
  • Nginx via Authentication Based on Subrequest Result

Example

다음과 같은 리퀘스트가 들어온다고 가정했을때

GET /my-service/whatever HTTP/1.1
Host: oathkeeper-proxy:4455
Authorization: bearer some-token

아래의 rule 을 가지고 있다면

{
  "id": "some-id",
  "upstream": {
    "url": "http://my-backend-service"
  },
  "match": {
    "url": "http://oathkeeper-proxy:4455/my-service/whatever",
    "methods": ["GET"]
  },
  "authenticators": [
    {
      "handler": "anonymous"
    }
  ],
  "authorizer": {
    "handler": "allow"
  },
  "mutators": [
    {
      "handler": "noop"
    }
  ]
}

ORY Oauthkeeper 는 리퀘스트를 forward 할 것이다.

GET /my-service/whatever HTTP/1.1
Host: my-backend-service:4455
Authorization: bearer some-token

리퀘스트를 verify 하기 위해 decisoins endpoint api 를 보내 확인할 수 있다.

• GET /decisions/v1/api
• PUT /decisions/my/other/api
• DELETE /decisions/users?foo=?bar

Example

Assuming you are making the following request to ORY Oathkeeper's Access Control Decision API

GET /decision/my-service/whatever HTTP/1.1
Host: oathkeeper-api:4456
Authorization: bearer some-token

and you have the following rule defined (which allows this request)

{
  "id": "some-id",
  "match": {
    "url": "http://oathkeeper-api:4456/my-service/whatever",
    "methods": ["GET"]
  },
  "authenticators": [
    {
      "handler": "noop"
    }
  ],
  "authorizer": {
    "handler": "allow"
  },
  "mutators": [
    {
      "handler": "noop"
    }
  ]
}

then this endpoint will directly respond with HTTP Status Code 200:

HTTP/1.1 200 OK
Authorization: bearer some-token

If any other status code is returned, the request must not be allowed, for example:

HTTP/1.1 401 OK
Content-Length: 0
Connection: Closed

It is also possible to have this endpoint return other error responses such as the HTTP Status Found (HTTP Status Code 302), depending configured on the error handling. Use this feature only if your Reverse Proxy supports these type of responses.

Depending on the mutator defined by the access rule, the HTTP Response might contain additional or mutated HTTP Headers:

HTTP/1.1 200 OK
X-User-ID: john.doe

1. Access Rule Matching
2. Authentication
3. Authorization
4. Mutation

• Acess Rule 은 세션데이터를 추가하여 포워딩할 수 있다.
• X-User-ID: the-user-id -> Authorization: Bearer the.jwt.token