Podman Pods mit Authentik

Hinweis

Für diese Beschreibung ist mindestens die Podman Version 5.0 erforderlich, da erst dort die Quadlets um die “Pod Units” ergänzt worden sind. Die aktuell installierte Version kann mit dem Befehl podman version geprüft werden.

Einleitung

In den bisherigen Artikeln haben wir Podman unter Alma Linux installiert (Einführung in Podman) und die Quadlets genutzt, um einen einzelnen Container zu starten (Podman Quadlets). Eine weitere Funktion, die Podman von Docker abhebt, ist die namensgebende Funktion “Pod”. In einem Pod können mehrere Container zusammengefasst werden, die sich die gleichen Ressourcen teilen. Dies ist immer dann praktisch, wenn eine Anwendung aus mehreren Komponenten besteht, wie zum Beispiel einer Weboberfläche und einer dazugehörigen Datenbank. Sie sind vergleichbar mit den Pods aus Kubernetes. Unter anderem deshalb lassen sich aus Podman Pods auch mit einem einfachen Befehl Konfigurationsdateien für Kubernetes generieren.

Wie funktionieren Pods?

Springen wir zunächst einmal zu Docker und schauen uns an, wie man dort mit Anwendungen umgeht, die aus mehreren Containern bestehen. Unter Docker würde man alle Container einer Anwendung in einer docker-compose zusammen angeben, damit Docker dann ein internes Netzwerk für diese Container aufbaut, über das sich die einzelnen Komponenten dann gegenseitig erreichen können.

Ein Pod dagegen verhält sich etwas anders. Alle Container, die dem gleichen Pod zugewiesen sind, teilen sich die Ressourcen untereinander. Das bedeutet zum Beispiel, dass eine Anwendung seine Datenbank, wenn sie im gleichen Pod liegt, über “localhost:PORT” erreichen kann. Es gibt also kein separates Netzwerk, über dass die Erreichbarkeit erst zustande kommt. Außerdem steht alles, was für den Pod definiert wird, für alle Container zur Verfügung. Wird auf Pod-Ebene ein Volume definiert, kann jeder Container im Pod darauf zugreifen.

Nachfolgend die Skizze eines Podman Pods für Authentik zur besseren Verständlichkeit:

Skizzierung eines Pods für den Betrieb von Authentik

Der zusätzlich eingezeichnete “Infra”-Container kann vorerst vernachlässigt werden. Bei jedem Pod startet immer automatisch ein kleiner Infra-Container mit, der für die Verwaltung des Pods zuständig ist.

Da sich die Container im Pod quasi wie installierte Anwendungen verhalten gilt darin auch die gleiche Einschränkung in Bezug auf Ports: Es darf keine zwei Container geben, die den gleichen Port innerhalb eines Pods nutzen wollen. In dem Fall wird einer der beiden Container nicht starten können, weil der benötigte Port bereits in Verwendung ist (“already in use”). In den meisten Fällen sollte dies kein Problem sein, da die einzelnen Komponenten einer Anwendung selten die gleichen Ports nutzen, sonst hätten sie auch auf einem normalen System ein Problem.

Pods mit Quadlets

Was ist also zu beachten, wenn man jetzt mehrere Container in einem Pod zusammenfassen möchte? Im Endeffekt gilt alles, was wir bislang mit den Quadlets gemacht haben, weiterhin. Es muss nur neben den .container-Quadlets eine weitere Datei mit der Endung “.pod” erstellt werden und zusätzlich muss in den Container Quadlets mit Pod=dateiname.pod eine Referenz auf den Pod eingetragen werden. Das reicht schon aus damit systemd weiß, dass dieser Container zu dem Pod gehört.

Wichtig: Wir haben in der Anleitung “Podman Quadlets” in der .container-Datei den Hostnamen des Containers explizit festgelegt:

1
HostName=flame

Diese Angabe muss entfallen, wenn der Container einem Pod zugeordnet wird. Innerhalb eines Pods kann ein Container keinen spezifischen Hostnamen mehr haben.

Was ist überhaupt Authentik?

Mehrfach wurde jetzt erwähnt, dass hier die Pod-Mechanik anhand von Authentik erläutert wird, aber was ist das überhaupt?

Authentik ist ein Identity Management System. Konkret bedeutet dies, dass es eine zentrale Stelle ist, an der man seine Benutzer verwalten kann. Es soll dann die zentrale Stelle zum Login in verschiedenste Anwendungen sein, man spricht hier unter anderem auch von Single-Sign-On (SSO). Im besten Fall loggt man sich also nur noch einmal über Authentik ein und kann dann auf alle seine Anwendungen zugreifen, ohne sich überall separat einloggen zu müssen.

Authentik bietet verschiedenste Optionen, um es in andere Anwendungen einzubinden, unter anderem OAuth2, LDAP oder Forward Auth für einen Reverse Proxy. Viele Anwendungen unterstützen eines oder mehrere dieser Verfahren. Einmal eingerichtet, wird die Authentifizierung nicht mehr bei der Einzelanwendung selbst ausgeführt, sondern an Authentik weitergegeben.

Quadlets anlegen

Es gibt keine Notwendigkeit, Authentik unter root laufen zu lassen, deswegen wird das Ganze unter einem ganz normalen Benutzer laufen. Wenn ihr der Anleitung zu (Podman Quadlets) gefolgt seid, so habt ihr in eurem Benutzerverzeichnis bereits einen symbolischen Link mit dem Namen “containers” der direkt zu dem Ort führt, an dem die Quadlets abgelegt werden müssen.

Dennoch benötigen wir dort einen neuen Unterordner, in den wir dann anschließend auch direkt reinwechseln:

1
mkdir ~/containers/authentik && cd $_

Hinweis: $_ enthält das Argument des vorangegangenen Befehls, also “~/containers/authentik”

Hier nochmal der Befehl mit dem vollen Pfad, falls ihr den symbolischen Link nicht habt:

1
mkdir -p ~/.config/containers/systemd/authentik && cd $_

Übersicht

Authentik besteht aus 4 Containern, die wir jetzt nach und nach definieren werden:

PostgreSQL Datenbank
Redis
Authentik Server
Authentik Worker

Secrets anlegen

Zunächst benötigen wir aber noch zwei Secrets, die wir später in den Containern nutzen. Dabei handelt es sich zum einen um ein Passwort für PostgreSQL und zum anderen um einen Secret Key, der vom Authentik Server und Worker benötigt wird. Da wir die Werte nicht kennen müssen und diese nur in den Containern selbst relevant sind, erzeugen wir zufällige Werte und speichern diese direkt als Secrets, ohne dass wir sie jemals gesehen haben:

1
2
printf $(openssl rand -base64 36 | tr -d '\n') | podman secret create authentik-postgresql-password -
printf $(openssl rand -base64 60 | tr -d '\n') | podman secret create authentik-secret-key -

Container: PostgreSQL

Es folgen jetzt mehrere Schritte, bei denen nur Dateien angelegt und der danach angezeigte Inhalt übertragen wird. Es handelt sich um die Definitionen der einzelnen Container, alle referenzieren auf den Pod “authentik”.

Neue Datei anlegen:

1
nano authentik-postgresql.container

Und folgenden Inhalt einsetzen:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
[Unit]
Description=PostgreSQL Podman Container (Authentik)
Wants=network-online.target
After=network-online.target

[Container]
AutoUpdate=registry

# Pod
Pod=authentik.pod

# Container
Image=docker.io/library/postgres:16-alpine
ContainerName=authentik-postgresql

# Health Check
HealthCmd=pg_isready -d authentik -U authentik
HealthStartPeriod=20s
HealthInterval=30s
HealthRetries=5
HealthTimeout=5s

# Volume
Volume=authentik-postgresql-data.volume:/var/lib/postgresql/data

# Environment
Environment=POSTGRES_DB=authentik
Environment=POSTGRES_USER=authentik

# Secrets
Secret=authentik-postgresql-password,type=env,target=POSTGRES_PASSWORD

[Service]
Restart=always

[Install]
WantedBy=default.target