基於Django設計Kibana使用者認證方案 薦

摘要： 問題背景 前段時間，負責ELK那哥們兒想把Kibana調整成為LDAP內部使用者認證，運維這邊瞭解到這個需求，著手調研。 解決方案及思路 首先Kibana現在只是用了一個叫 Search guard 的外掛來控制訪問，但是這個外掛需要和JIRA使用者統一認證，需要手動開...

問題背景

前段時間，負責ELK那哥們兒想把Kibana調整成為LDAP內部使用者認證，運維這邊瞭解到這個需求，著手調研。

解決方案及思路

詳細設計

前期準備工作

版本選擇：

Nginx 1.14.1

Django 1.9.13

Kibana 6.5.1

Python 2.7

需要注意事項：
1、Nginx需要注意的點就是，預設yum安裝的Nginx沒有編譯auth_request模組，
所以需要到官網重新下載原始碼，增加--with-http_auth_request_module進行編譯。
2、程式碼中需要用到Python的requests、Crypto 模組需要額外安裝

Nginx 1.4.1下載地址：

ofollow,noindex" target="_blank">http://nginx.org/download/nginx-1.14.1.tar.gz

requests 模組安裝：

pip install requests

Crypto模組安裝：

pip install Crypto

程式碼分析

class prcrypt(object):
def __init__(self,key):
if len(key) < 16:
key = key+(16-len(key))*'\0'
self.key = key
self.mode = AES.MODE_CBC

def encrypt(self,text):
cryptor = AES.new(self.key,self.mode,IV=self.key)
length = 16
count = len(text)
add = count % length
if add :
text = text + ('\0' * (length-add))
self.ciphertext = cryptor.encrypt(text)
return base64.b64encode(self.ciphertext)

def decrypt(self,text):
cryptor = AES.new(self.key,self.mode,IV=self.key)
plain_text = cryptor.decrypt(base64.b64decode(text))
return plain_text.rstrip('\0')

程式碼詳解：這段加密操作通過 aes 模組進行加密，大概原理首先傳入一個 key 值，作為例項化 AES物件的金鑰 。然後將需要加密的文字補足成 16的倍數 進行加密操作，最後將加密後的文字 base64 進行轉換。解密的話 逆操作 即可。

程式碼詳解：首先 前面一部分 程式碼是接收前端傳來的使用者名稱和密碼，並且通過requests模組post到指定的介面地址，然後解析返回的結果，根據返回結果的狀態碼判斷是否能登陸成功。

第二部分通過判斷登入成功後，將 使用者名稱和登入狀態 加密，設定cookie，指定 超時時間 一小時，只能由http協議傳輸。然後重定向到 受保護的資源 ，受保護的資源就會再次請求 驗證服務 ，驗證服務對cookie進行 判斷正確後 就會允許訪問受保護資源；如果 登入失敗 則會返回無效使用者名稱和密碼到登入介面。

配置分析

http {
include/etc/nginx/mime.types;
upstream backend {
server 192.168.128.5:5601;
}
#需要受保護的Kibana程式

server {
listen 8081;
# nginx服務開放8081埠

location / {
auth_request /auth-proxy;
error_page 401 =200 /login;
proxy_pass http://backend/;
}
#這個路徑下受auth-request保護，所有401的請求都會重定向到login上

location /login {
proxy_pass http://127.0.0.1:8888/login;
proxy_set_header X-Target $request_uri;
}
# 這是我們認證的頁面，指向我們django專案中的login路徑

location /auth-proxy {
internal;
proxy_pass http://127.0.0.1:8888;
}
# 這裡用作auth-request請求的路徑

location /static{
alias /data/htdocs/www/elk/static/;
}
}
}

上面就是主要的Nginx配置檔案

urlpatterns = [
url(r'^$',login),
url(r'^login',login),
url(r'^auth-proxy',nginx_auth),
url(r'^admin/', include(admin.site.urls)),
]

對應django專案的urls檔案

總結