基于Django设计Kibana用户认证方案 荐

问题背景

前段时间，负责ELK那哥们儿想把Kibana调整成为LDAP内部用户认证，运维这边了解到这个需求，着手调研。

解决方案及思路

详细设计

前期准备工作

版本选择：

Nginx 1.14.1

Django 1.9.13

Kibana 6.5.1

Python 2.7

需要注意事项：
1、Nginx需要注意的点就是，默认yum安装的Nginx没有编译auth_request模块，
所以需要到官网重新下载源码，增加--with-http_auth_request_module进行编译。
2、代码中需要用到 Python 的requests、Crypto 模块需要额外安装

Nginx 1.4.1下载地址：

http://nginx.org/download/nginx-1.14.1.tar.gz

requests 模块安装：

pip install requests

Crypto模块安装：

pip install Crypto

安装成功后，可分别通过nginx -V、pip show requests、pip show Crypto验证：

代码分析

class prcrypt(object):
    def __init__(self,key):
        if len(key) < 16:
            key = key+(16-len(key))*'\0'
        self.key = key
        self.mode = AES.MODE_CBC

    def encrypt(self,text):
        cryptor = AES.new(self.key,self.mode,IV=self.key)
        length = 16
        count = len(text)
        add = count % length
        if add :
            text = text + ('\0' * (length-add))
        self.ciphertext = cryptor.encrypt(text)
        return base64.b64encode(self.ciphertext)

    def decrypt(self,text):
        cryptor = AES.new(self.key,self.mode,IV=self.key)
        plain_text = cryptor.decrypt(base64.b64decode(text))
        return plain_text.rstrip('\0')

代码详解：这段加密操作通过 aes 模块进行加密，大概原理首先传入一个 key 值，作为实例化 AES对象的密钥 。然后将需要加密的文本补足成 16的倍数 进行加密操作，最后将加密后的文本 base64 进行转换。解密的话 逆操作 即可。

代码详解：首先 前面一部分 代码是接收前端传来的用户名和密码，并且通过requests模块post到指定的接口地址，然后解析返回的结果，根据返回结果的状态码判断是否能登陆成功。

第二部分通过判断登录成功后，将 用户名和登录状态 加密，设置cookie，指定 超时时间 一小时，只能由http协议传输。然后重定向到 受保护的资源 ，受保护的资源就会再次请求 验证服务 ，验证服务对cookie进行 判断正确后 就会允许访问受保护资源；如果 登录失败 则会返回无效用户名和密码到登录界面。

前端登录界面：

配置分析

http {
    include       /etc/nginx/mime.types;
    upstream backend {
        server 192.168.128.5:5601;
}
#需要受保护的Kibana程序

    server {
        listen 8081;
        # nginx服务开放8081端口

        location / {
            auth_request /auth-proxy;
            error_page 401 =200 /login;
            proxy_pass http://backend/;
        }
        #这个路径下受auth-request保护，所有401的请求都会重定向到login上

        location /login {
            proxy_pass http://127.0.0.1:8888/login;
            proxy_set_header X-Target $request_uri;
        }
       # 这是我们认证的页面，指向我们django项目中的login路径

        location /auth-proxy {
            internal;
            proxy_pass http://127.0.0.1:8888;
        }
       # 这里用作auth-request请求的路径

        location /static{
        alias /data/htdocs/www/elk/static/;
        }
    }
}

上面就是主要的Nginx配置文件

urlpatterns = [
    url(r'^$',login),
    url(r'^login',login),
    url(r'^auth-proxy',nginx_auth),
    url(r'^admin/', include(admin.site.urls)),
]

对应django项目的urls文件

总结