ingress-nginx 如何用 htpasswd Secret 配置 Basic 认证并验证 401 拦截【免费下载链接】ingress-nginxIngress NGINX Controller for Kubernetes项目地址: https://gitcode.com/GitHub_Trending/in/ingress-nginx这篇文章解决一个具体的安全接入任务在 ingress-nginx 上给某条 Ingress 规则加 HTTP Basic 认证让未携带凭据的请求被拦截为401 Unauthorized携带正确用户名密码的请求正常返回200。认证凭据来源于一个由htpasswd文件转换而成的 Kubernetes SecretIngress 通过auth-type、auth-secret、auth-realm三个注解引用它。适用前提集群中已运行 ingress-nginx controller且有一个可被 Ingress 转发的后端 Service下文示例使用仓库自带的http-svc后端定义见 docs/examples/http-svc.yaml。准备条件一个已部署 ingress-nginx controller 的 Kubernetes 集群Ingress 使用的ingressClassName为nginx与示例一致可按实际 controller 名称调整。本地有htpasswd命令生成 htpasswd 格式的用户文件和kubectl。一个已存在的后端 Service。示例中的 Ingress 把/转发到http-svc的 80 端口该 Deployment 与 Service 可直接用 docs/examples/http-svc.yaml 创建。第一步生成 htpasswd 文件在本地执行foo是要创建的用户名之后按提示输入两次密码示例文档中使用的密码为bar$ htpasswd -c auth foo New password: bar New password: Re-type new password: Adding password for user foo-c表示创建新文件执行后当前目录会得到一个名为auth的 htpasswd 文件内容包含用户名foo的密码哈希。文件名必须叫auth这一点直接影响下一步 Secret 的键名。第二步把 htpasswd 文件转成 Secret$ kubectl create secret generic basic-auth --from-fileauth secret basic-auth created--from-fileauth使 Secret 内的键名就是auth也就是data.auth。这是硬要求ingress-nginx 只从 Secret 的auth键读取 htpasswd 内容键名不对时 ingress-controller 会返回 503见 docs/examples/auth/basic/README.md 开头说明代码中对应的报错为the secret %s does not contain a key with value auth见 internal/ingress/annotations/auth/main.go 的dumpSecretAuthFile。创建后检查 Secret 结构$ kubectl get secret basic-auth -o yaml apiVersion: v1 data: auth: Zm9vOiRhcHIxJE9GRzNYeWJwJGNrTDBGSERBa29YWUlsSDkuY3lzVDAK kind: Secret metadata: name: basic-auth namespace: default type: Opaque以上为文档示例输出你的data.auth哈希值会不同判断标准是data下存在auth键、类型为Opaque、且与 Ingress 在同一 namespace。注解的完整定义见 docs/user-guide/nginx-configuration/annotations.md 的 Authentication 一节nginx.ingress.kubernetes.io/auth-type认证类型basic或digest本文用basicnginx.ingress.kubernetes.io/auth-secret包含用户名密码的 Secret 名nginx.ingress.kubernetes.io/auth-realm认证请求时展示给用户的提示语nginx.ingress.kubernetes.io/auth-secret-type可选默认auth-file即 htpasswd 文件放在键auth中另一种取值auth-map表示 Secret 的每个键是用户名、值是哈希密码。按auth-file方式操作时可以不写这个注解。第三步创建带认证注解的 Ingress$ echo apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: ingress-with-auth annotations: # type of authentication nginx.ingress.kubernetes.io/auth-type: basic # name of the secret that contains the user/password definitions nginx.ingress.kubernetes.io/auth-secret: basic-auth # message to display with an appropriate context why the authentication is required nginx.ingress.kubernetes.io/auth-realm: Authentication Required - foo spec: ingressClassName: nginx rules: - host: foo.bar.com http: paths: - path: / pathType: Prefix backend: service: name: http-svc port: number: 80 | kubectl create -f -其中foo.bar.com是文档示例使用的 host替换为你自己的域名http-svc是第二步准备的后端 Service 名。auth-realm的值会原样出现在 401 响应的WWW-Authenticate头里。第四步验证 401 拦截与放行先不带凭据请求确认被拦截。下面两条命令中的10.2.29.4是文档示例环境里的 ingress 地址需替换为你的 ingress 入口地址$ curl -v http://10.2.29.4/ -H Host: foo.bar.com文档示例输出 HTTP/1.1 401 Unauthorized Server: nginx/1.10.0 Content-Type: text/html WWW-Authenticate: Basic realmAuthentication Required - foo ... centerh1401 Authorization Required/h1/center判断成功状态码为401 Unauthorized且WWW-Authenticate: Basic头中的 realm 与 Ingress 注解里的auth-realm一致示例为Authentication Required - foo。再带正确凭据请求$ curl -v http://10.2.29.4/ -H Host: foo.bar.com -u foo:bar文档示例输出中状态行变为HTTP/1.1 200 OK响应体是后端服务echoserver 示例输出返回的内容。能拿到200且请求到达后端说明认证链路完整工作。排查与限制Secret 键名不是auth时返回 503这是最常见的配置错误检查kubectl get secret basic-auth -o yaml中是否存在data.auth。用kubectl create secret generic ... --from-fileauth创建可以避免键名不对。auth-secret-type 的两种形式默认auth-file要求 htpasswd 内容在键auth中如果改用auth-map则 Secret 的每个键是用户名、值是密码哈希不再需要 htpasswd 文件。两种形式由nginx.ingress.kubernetes.io/auth-secret-type注解区分不要混用。Secret 与 Ingress 的 namespace 关系annotations.md 说明auth-secret注解也接受namespace/secretName形式以在指定 namespace 查找 Secret而 controller 代码中还存在AllowCrossNamespaceResources安全配置关闭时跨 namespace 引用会被拒绝cross namespace usage of secrets is not allowed。最稳妥的做法是让 Secret 与 Ingress 位于同一 namespace。认证作用范围认证加在 Ingress 规则上作用于该规则定义的paths本文示例覆盖foo.bar.com的/其他 host 或规则不受影响。digest 认证auth-type还支持digest本文不展开配置注解与验证方式与 basic 相同仅类型取值不同。完整示例含更长的 curl 原始输出见 docs/examples/auth/basic/README.md。【免费下载链接】ingress-nginxIngress NGINX Controller for Kubernetes项目地址: https://gitcode.com/GitHub_Trending/in/ingress-nginx创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考