outline.md

   1 = Talk summary =
   2
   3 Cockpit is primarily known as a graphical, browser-based, reactive, and non-intrusive interface for configuring and troubleshooting your servers. But it also makes these accessible from a lot more places like computers with Windows or mobile devices. You can log into Cockpit using classic passwords, single-sign on in an Identity Management domain, seamlessly from Foreman/Satellite, through SSH keys, or even a local smart card. This talk explains how all these standard Linux authentication schemas transcend through a web browser while keeping them trustworthy. It also shows briefly how you can write your own authentication plugin tailored to your environment.
   4
   5 = Outline =
   6
   7 - Introduction
   8   + Cockpit as graphical UI to interact with your server, complementing ssh
   9   + Configure LVM or RAID once a year? Simpler and safer to do it like this
  10     (Storage page demo) than this (shell commands) → add PV, resize partition
  11   + Makes server accessible from a lot more places
  12   + Integrates into authentication setups beyond simple user/password login page
  13
  14 - Devices demo
  15   + Win10 VM, Edge browser (./vm-run windows-10, [[https://10.0.2.2:9090]], preload that)
  16   + Firefox mobile emulation ([[http://localhost:9090/storage]])
  17   + So far zero configuration except for enabling cockpit.socket
  18
  19 - Anatomy of a Cockpit session
  20   + ws-session.drawio
  21   + ws: http+WebSocket on TCP ←→ cockpit JSON protocol (auth and session) on a pipe;
  22     ask for/collect credentials (password, oauth token, krb negotiation, client
  23     cert); unprivileged
  24   + session/auth: use creds from ws to start a login session, connect pipe to
  25     it; standard is cockpit-session (suid root helper) that starts PAM (password, krb)
  26     but it doesn't have to be: ssh or custom plugins
  27   + cockpit-bridge: session leader, role of bash; JSON protocol on stdio ←→ system
  28     APIs (exec programs, call D-Bus, use files or sockets); runs as target user
  29
  30 - Alternative session launcher: ssh
  31   + ws and session do not need to run on the same machine
  32   + ssh-session.drawio
  33   + ssh key login with dashboard to older RHEL machine
  34   + bastion-host.drawio
  35   + bastion host (no ws on critical machines, don't trust cockpit-session, even to localhost)
  36     config option to only use this mode, can be run from container
  37
  38 - Alternative authentication: smart card
  39   + most interesting mechanism as it's rather browser specific; moral equivalent of ssh with key
  40   + demo
  41   + cert-auth.png
  42
  43 - Other auth setups:
  44   + SSO with Identity Management
  45   + OAuth (for Kubernetes/OpenShift integration)
  46
  47 - Custom auth plugin
  48   + TODO
  49
  50 = Unsorted =
  51
  52 - foreman demo (custom auth plugin) https://www.youtube.com/watch?v=Ua3b79UG9JM 5:35 ~ 10s
  53 - [ManageIQ](https://github.com/ManageIQ/manageiq/blob/master/lib/miq_cockpit.rb)
  54
  55 = Links =
  56
  57  * [authentication protocol](https://github.com/cockpit-project/cockpit/blob/master/doc/authentication.md)
  58  * [Authentication configuration](https://cockpit-project.org/guide/latest/authentication.html)
  59