Automation of Security and User Access Management for Kubernetes

Bc. Peter Mercell

Diplomová práce

Anotace:

Táto diplomová práca predstavuje návrh a implementáciu automatizovaného systému na správu zabezpečeného prístupu užívateľov v zdieľanom prostredí Kubernetes. Riešenie je založené na verzovanom, centralizovanom konfiguračnom súbore, ktorý špecifikuje metadáta projektov, kontaktné informácie, výpočtové zdroje, nastavenia pre VPN a podrobnosti o riadení prístupu. Na základe tejto konfigurácie systém automatizuje vytváranie projektov v prostredí Rancher, prideľovanie prístupových oprávnení v systéme Perun, priradenie rozsahov IPv4 a IPv6 adries prostredníctvom interného modulu na alokáciu IP adries a generovanie pripojovacích profilov pre EduVPN. EduVPN server je nasadený a nakonfigurovaný pomocou nástroja Ansible a podporuje jednotné prihlásenie pomocou protokolu SAML, s overovaním prístupu v reálnom čase cez LDAP. VPN profily sú dynamicky prideľované na základe oprávnení používateľa a automaticky regenerované pomocou Cron Job vždy, keď dôjde k aktualizácii konfiguračného súboru v repozitári konfigurácie EduVPN. Systém podporuje verzovanie a auditovanie na sledovanie zmien a prístupov – zmeny v konfigurácii sú sledované pomocou systému Git, alokácie IP adries sú uložené v databáze s časovými známkami a prístupy k EduVPN sú zaznamenávané na úrovni webového servera aj samotného VPN pripojenia.

Abstract:

This thesis presents the design and implementation of an automated system for managing secure user access in a shared Kubernetes environment. The solution is based on a centralized, version-controlled configuration file that specifies project metadata, contact information, compute resources, VPN settings, and access control details. Using this configuration, the system automates the creation of projects in Rancher, the provisioning of access permissions in Perun, the assignment of IPv4 and IPv6 address ranges via an internal IP Allocation Module, and the generation of EduVPN connection profiles. The EduVPN Server is deployed and configured using Ansible and supports federated authentication through SAML, with live access verification via LDAP. VPN profiles are dynamically assigned based on user entitlements and are automatically regenerated by a Cron Job whenever the configuration file in the EduVPN Configuration Repository is updated. The system supports versioning and auditing to track changes and access, with configuration changes tracked in Git, IP address allocations stored in a database with timestamps, and EduVPN access logged at both the web server and VPN connection levels.

Keywords

EduVPN, Python, Kubernetes, Access Management, Rancher, Ansible, Perun

Jazyk práce: angličtina

Datum vytvoření / odevzdání či podání práce: 21. 5. 2025

Obhajoba závěrečné práce

• Obhajoba proběhla 18. 6. 2025
• Vedoucí: RNDr. Michal Růžička, Ph.D.
• Oponent: Mgr. Adrián Rošinec

Masarykova univerzita

Fakulta informatiky

Magisterský studijní program / obor:
Softwarové inženýrství / Nasazení a provoz softwarových systémů