Как отфильтровать запрос аутентификации перед пересылкой на сервер аутентификации?

Question

Нам нужно отключить вход через токен учетной записи службы.

Мы думали создать веб-перехватчик для события входа в систему и перенаправить его в opa, opa проверит, использует ли запрос входа в систему токен. Если это так, он выдает ошибку, если это так, он просто продолжит поток пересылки запроса провайдеру аутентификации / идентификации.

Мы используем openshift 3.

Answer 1

Я не уверен, можно ли это сделать с https://kubernetes.io/docs/reference/access-authn-authz/webhook/, но если у вас был способ узнать с помощью этой полезной нагрузки запроса, был ли это токен, тогда вы могли бы справиться с этим таким образом.

В противном случае вам, вероятно, придется использовать подобный шлюз / прокси перед сервером API, чтобы перехватывать запросы и фильтровать их до того, как кубернеты вообще их получат.