Deckhouse Stronghold

Deckhouse Stronghold — корпоративное хранилище секретов, совместимое с HashiCorp Vault, для централизованного и безопасного управления ключами, паролями и доступами. Поддерживает динамические учётные данные, аудит и интеграцию с корпоративной аутентификацией (OIDC, LDAP), помогая автоматизировать безопасную работу приложений с конфиденциальными данными.

Blitz Identity Provider выступает OIDC‑провайдером, а Deckhouse Stronghold — OIDC‑клиентом (Relying Party).

В этой инструкции описано подключение Stronghold Standalone к Blitz Identity Provider по протоколу OIDC (OpenID Connect).

Подключение выполняется в два этапа:

Этап 1. Настройки на стороне Blitz Identity Provider Этап 2. Настройки на стороне Stronghold (OIDC Client)

Важно:

В инструкции для примера указано, что Stronghold доступен по адресу https://stronghold.company.com, а Blitz Identity Provider доступен по адресу https://login.company.com. Замените адреса на реальные перед применением инструкции.

Этап 1. Настройки на стороне Blitz Identity Provider

В консоли Blitz Identity Provider перейдите в раздел Приложения.

1. Создание пользователя для теста

Создайте тестового пользователя через blitz-console (CLI или веб‑консоль).

2. Создание OIDC‑приложения для Stronghold

Создайте новое приложение:

Название: stronghold Base URL: https://stronghold.company.com Протокол: OAuth 2.0 / OIDC

После создания получите:

client_id client_secret

3. Настройка параметров OIDC клиента

Укажите:

Redirect / Callback URL: https://stronghold.company.com Разрешённые scopes:

openid (обязательно) profile (опционально) email (опционально)

Сохраните настройки.

На этом этапе Blitz готов выступать OIDC‑провайдером.

Этап 2. Настройки на стороне Stronghold (OIDC Client)

Теперь Stronghold настраивается как клиент OIDC.

1. Подготовка TLS и discovery URL

Необходимые значения:

Public URL Stronghold: https://stronghold.company.com OIDC Discovery URL Blitz: https://login.company.com/.well-known/openid-configuration

Убедитесь, что TLS сертификаты валидны для DNS‑имён.

2. Включение OIDC auth method в Stronghold

Добавьте OIDC метод аутентификации:

Укажите Discovery URL Blitz Укажите client_id и client_secret, полученные ранее

3. Создание роли OIDC

Создайте роль (например default):

привязка к client_id redirect URL: https://stronghold.company.com scopes: openid profile email

4. Настройка ACL‑policy

Создайте policy для пользователей OIDC и привяжите её к роли.

5. Проверка входа

Выполните вход в Stronghold через Blitz Identity Provider. Проверьте:

доступ к KV чтение/запись секретов согласно policy

Возможные проблемы и их решение

1) Ошибка TLS при добавлении OIDC Discovery URL

Ошибка вида: tls: failed to verify certificate

Перевыпустить сертификат с корректными SAN:

subjectAltName с DNS и URI keyUsage extendedKeyUsage=serverAuth basicConstraints=CA:FALSE

Исправить скрипт /usr/share/identityblitz/scripts/configure.sh в части генерации файла конфигурации Итоговый файл конфигурации должен выглядеть следующим образом:

[req]
prompt=no
default_bits=4096
encrypt_key=no
default_md=sha256
distinguished_name=dn
x509_extensions=ext

[dn]
CN=your-domain.com

[ext]
subjectAltName = @alt_names
subjectKeyIdentifier = hash
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
basicConstraints = CA:FALSE

[alt_names]
DNS.1 = your-domain.com
URI.1 = https://your-domain.com/blitz/saml

Результат успешной интеграции

Stronghold авторизуется через Blitz как OIDC‑провайдер. Права доступа разграничиваются через ACL policy.

Проверенная конфигурация

Stronghold (standalone): v1.16.5 EE Blitz Identity Provider: 5.31.4 ОС: Rocky Linux 9.7 x86_64 ВМ: 1×node, 4 vCPU, 12 GB RAM, 60 GB disk