kubernetes 认证授权

news2024/12/25 9:25:28

目录

一、kubernetes API访问控制

二、pod绑定sa

三、认证

四、授权

一、kubernetes API访问控制

  • Authentication（认证）
  • 认证方式现共有8种，可以启用一种或多种认证方式，只要有一种认证方式通过，就不再进行其它方式的认证。通常启用X509 Client Certs和Service Accout Tokens两种认证方式。
  • Kubernetes集群有两类用户：由Kubernetes管理的Service Accounts （服务账户）和（Users Accounts） 普通账户。k8s中账号的概念不是我们理解的账号，它并不真的存在，它只是形式上存在。
  • Authorization（授权）
  • 必须经过认证阶段，才到授权请求，根据所有授权策略匹配请求资源属性，决定允许或拒绝请求。授权方式现共有6种，AlwaysDeny、AlwaysAllow、ABAC、RBAC、Webhook、Node。默认集群强制开启RBAC。
  • Admission Control（准入控制）
  • 用于拦截请求的一种方式，运行在认证、授权之后，是权限认证链上的最后一环，对请求API资源对象进行修改和校验。
  • 访问k8s的API Server的客户端主要分为两类：
  • kubectl ：用户家目录中的 .kube/config 里面保存了客户端访问API Server的密钥相关信息，这样当用kubectl访问k8s时，它就会自动读取该配置文件，向API Server发起认证，然后完成操作请求。
  • pod：Pod中的进程需要访问API Server，如果是人去访问或编写的脚本去访问，这类访问使用的账号为：UserAccount；而Pod自身去连接API Server时，使用的账号是：ServiceAccount，生产中后者使用居多。
  • kubectl向apiserver发起的命令,采用的是http方式,其实就是对URL发起增删改查的操作。
  • $ kubectl  proxy --port=8888 &
  • $ curl http://localhost:8888/api/v1/namespaces/default
  • $ curl http://localhost:8888/apis/apps/v1/namespaces/default/deployments
  • 以上两种api的区别是：
  • api它是一个特殊链接,只有在核心v1群组中的对象才能使用。
  • apis 它是一般API访问的入口固定格式名。
  • UserAccount与serviceaccount：
  • 用户账户是针对人而言的。 服务账户是针对运行在 pod 中的进程而言的。
  • 用户账户是全局性的。 其名称在集群各 namespace 中都是全局唯一的，未来的用户资源不会做 namespace 隔离， 服务账户是 namespace 隔离的。
  • 通常情况下，集群的用户账户可能会从企业数据库进行同步，其创建需要特殊权限，并且涉及到复杂的业务流程。 服务账户创建的目的是为了更轻量，允许集群用户为了具体的任务创建服务账户 ( 即权限最小化原则 )。

二、pod绑定sa

创建serviceaccount：

kubectl create sa admin

 绑定：

vim pod.yaml

apiVersion: v1
kind: Pod
metadata:
  name: mypod
spec:
  serviceAccountName: admin
  containers:
    - name: nginx
      image: nginx

三、认证

cd /etc/kubernetes/pki/
openssl genrsa -out test.key 2048
openssl req -new -key test.key -out test.csr -subj "/CN=test"
openssl  x509 -req -in test.csr -CA ca.crt -CAkey ca.key  -CAcreateserial -out test.crt -days 365
kubectl config set-credentials test --client-certificate=/etc/kubernetes/pki/test.crt --client-key=/etc/kubernetes/pki/test.key --embed-certs=true
kubectl config set-context test@kubernetes --cluster=kubernetes --user=test
kubectl config view

切换用户（默认用户没有任何权限，需要授权）

kubectl config use-context test@kubernetes

切回admin

kubectl config use-context kubernetes-admin@kubernetes

vim roles.yaml

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: default
  name: myrole
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "watch", "list", "create", "update", "patch", "delete"]

---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: test-read-pods
  namespace: default
subjects:
- kind: User
  name: test
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: myrole
  apiGroup: rbac.authorization.k8s.io

kubectl apply -f roles.yaml
kubectl run demo --image nginx
kubectl get pod

四、授权

  • RBAC（Role Based Access Control）：基于角色访问控制授权。
  • 允许管理员通过Kubernetes API动态配置授权策略。RBAC就是用户通过角色与权限进行关联。
  • RBAC只有授权，没有拒绝授权，所以只需要定义允许该用户做什么即可。
  • RBAC包括四种类型：Role、ClusterRole、RoleBinding、ClusterRoleBinding。

 

  • RBAC的三个基本概念：
  • Subject：被作用者，它表示k8s中的三类主体， user， group， serviceAccount
  • Role：角色，它其实是一组规则，定义了一组对 Kubernetes API 对象的操作权限。
  • RoleBinding：定义了“被作用者”和“角色”的绑定关系。
  • Role 和 ClusterRole
  • Role是一系列的权限的集合，Role只能授予单个namespace 中资源的访问权限。
  • ClusterRole 跟 Role 类似，但是可以在集群中全局使用。
  • RoleBinding和ClusterRoleBinding
  • RoleBinding是将Role中定义的权限授予给用户或用户组。它包含一个subjects列表(users，groups ，service accounts)，并引用该Role。
  • RoleBinding是对某个namespace 内授权，ClusterRoleBinding适用在集群范围内使用。

 示例：

vim roles.yaml

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: default
  name: myrole
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "watch", "list", "create", "update", "patch", "delete"]

---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: test-read-pods
  namespace: default
subjects:
- kind: User
  name: test
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: myrole
  apiGroup: rbac.authorization.k8s.io

---
kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: myclusterrole
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "watch", "list", "delete", "create", "update"]
- apiGroups: ["extensions", "apps"]
  resources: ["deployments"]
  verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]

---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding						#RoleBinding必须指定namespace
metadata:
  name: rolebind-myclusterrole
  namespace:  default
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: myclusterrole
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: test

---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding				#ClusterRoleBinding全局授权，无需指定namespace
metadata:
  name: clusterrolebinding-myclusterrole
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: myclusterrole
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: test


kubectl apply -f roles.yaml
kubectl config use-context test@kubernetes
kubectl config use-context kubernetes-admin@kubernetes
kubectl delete -f roles.yaml
kubectl config delete-user test
kubectl config delete-context test@kubernetes

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1185111.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

【Axure高保真原型】树切换动态面板案例

【Axure高保真原型】树切换动态面板案例

今天和大家分享树切换动态面板的原型模板，点击树的箭头可以打开或者收起子节点，点击最后一级人物节点，可以切换右侧面板的状态到对应的页面，左侧的树是通过中继器制作的，使用简单，只需要按要求填写中继器表…
阅读更多...
人大金仓三大兼容：SQL Server迁移无忧

人大金仓三大兼容：SQL Server迁移无忧

SQL Server在数据库领域一直占据着重要地位。作为一款成熟稳定的关系型数据库管理系统，SQL Server在国内有着广泛的用户群体，医疗、海关、政务等行业的核心业务系统多采用SQL Server数据库。随着政策与市场的双重驱动，信息技术应用创新产业的…
阅读更多...
【快速使用ShardingJDBC的哈希分片策略进行分表】

【快速使用ShardingJDBC的哈希分片策略进行分表】

文章目录 🔊博主介绍🥤本文内容🍊1.引入maven依赖🍊2.启动类上添加注解MapperScan🍊3.添加application.properties配置🍊4.普通的自定义实体类🍊5.写个测试类验证一下🍊6.控制台打印…
阅读更多...
竞赛 目标检测-行人车辆检测流量计数

竞赛 目标检测-行人车辆检测流量计数

文章目录 前言1\. 目标检测概况1.1 什么是目标检测？1.2 发展阶段 2\. 行人检测2.1 行人检测简介2.2 行人检测技术难点2.3 行人检测实现效果2.4 关键代码-训练过程 最后 前言 🔥 优质竞赛项目系列，今天要分享的是 行人车辆目标检测计数系统 …
阅读更多...
Linux之make/maakefile

Linux之make/maakefile

access不是实时更新的。 printf打印并不是直接给屏幕而是先放到缓冲区。 可以通过fflush(stdout)强制刷新缓冲区。 换行是指直接到同一位置的下一行，回车是回到开头。
阅读更多...
【MySQL数据库】 七

【MySQL数据库】 七

本文主要介绍了Java的JDBC编程的过程. 超详细 !!! 一.JDBC JDBC就是通过Java代码,来操作数据库 由于我们在实际开发中,绝大部分都是用代码来操作数据库的 , 因此一个成熟的数据库,都会提供一些API让程序员来使用. 常见的数据库比如mysql / oracl / sqlserver / SQLite 都会提…
阅读更多...
Python类与对象：类的定义、实例化、方法、属性、构造函数

Python类与对象：类的定义、实例化、方法、属性、构造函数

文章目录 类的定义类的实例化方法属性构造函数Python 类和对象是面向对象编程的基础。在 Python 中，几乎所有东西都是对象，拥有属性和方法。类是创建对象的蓝图或模板。让我们一步步来探索类的定义、实例化、方法、属性以及构造函数，并提供详细的代码示例。 类的定义 在 P…
阅读更多...
SQL注入漏洞 其他注入

SQL注入漏洞 其他注入

文章目录 宽字节注入案例 HTTP头部注入Cookie注入base64User-Agent注入Referer 注入 SQL注入读写文件条件1.是否拥有读写权限2.文件路径3.secure_file_priv 读取文件写入文件 SQLMap安装sqlmapkail 源安装仓库克隆 参数简介快速入门；SQLmap（常规&#xf…
阅读更多...
【Docker】设置容器系统字符集zh_CN.UTF-8退出失效：关于Docker容器配置环境变量，再次进入失效问题

【Docker】设置容器系统字符集zh_CN.UTF-8退出失效：关于Docker容器配置环境变量，再次进入失效问题

设置容器系统字符集zh_CN.UTF-8退出失效：关于Docker容器配置环境变量，再次进入失效问题 修改正在运行的Docker容器内的字符集: 先进入Docker容器：docker exec -it 容器ID /bin/bash查看是否支持中文字符集：locale -a | grep zh&a…
阅读更多...
B站双11，联手天猫暴涨2亿消费新势力

B站双11，联手天猫暴涨2亿消费新势力

一直以来，手持高活跃、高粘性用户群体的B站是行业用来观察年轻人消费习惯的重要平台。以至于用户群体的不断壮大带动了B站的商业价值。如今B站的商业舞台越来越大，不断地向外界招手，欢迎更多品牌积极加入到这个千万年轻人聚集的内容社区。 2…
阅读更多...
如何有效防爬虫？教你打造安全堡垒

如何有效防爬虫？教你打造安全堡垒

企业拥抱数字化技术的过程中，网络犯罪分子的“战术”也更难以觉察，并且这些攻击越来越自动化和复杂，也更加难以觉察。在众多攻击手段总，网络爬虫是企业面临的主要安全挑战，对于企业所造成的经济损失是难以计量的。那么…
阅读更多...
设备密集型单位如何提升效率？智能巡检软件哪个好？

设备密集型单位如何提升效率？智能巡检软件哪个好？

在设备密集型单位，如钢铁、化工、电力、烟草、日用品等行业以及运维商，日常工作中面临着设备巡检这一重要且繁琐的任务。传统的巡检方式往往依靠纸质记录，数据难以进行统计或分析，巡检人员需要手动记录各种数据，不仅效…
阅读更多...
visual studio 启用DPI识别功能

visual studio 启用DPI识别功能

在开发widow程序时，有时必须将电脑 设置-->显示-->缩放与布局-->更改文本、应用项目的大小-->100%后，程序的画面才能正确运行，居说这是锁定了dpi的原因，需要启dpi识别功能。设置方法如下： 或者
阅读更多...
unity - Blend Shape - 变形器 - 实践

unity - Blend Shape - 变形器 - 实践

文章目录 目的Blend Shape 逐顶点 多个混合思路Blender3Ds maxUnity 中使用Project 目的 拾遗，备份 Blend Shape 逐顶点 多个混合思路 blend shape 基于： vertex number, vertex sn 相同，才能正常混合、播放 也就是 vertex buffer 的顶点数…
阅读更多...
CocosCreator让一个物体跟随鼠标移动（两种方式 本地坐标系和世界坐标系）

CocosCreator让一个物体跟随鼠标移动（两种方式 本地坐标系和世界坐标系）

在 Cocos Creator 3.x 游戏运行时显示的画布大小就是屏幕区域，屏幕坐标是从画布的左下角为原点开始计算 在 Creator 3.x 里，屏幕和 UI 是完全区分开的，用户可以在没有 UI 的情况下点击屏幕获取触点信息。因此，获取屏幕触点&#…
阅读更多...
Jmeter工具二次开发

Jmeter工具二次开发

一、JMeter 二次开发方向 1、函数开发，主要为JMeter 函数库 2、插件开发，一般主要做取样器开发 3、基于执行引擎开发，有效解决单独开发的测试平台或工具中，底层执行引擎开发相对复杂、周期长的问题，利用 JMeter 执行…
阅读更多...
分享vmware和Oracle VM VirtualBox虚拟机的区别，简述哪一个更适合我？

分享vmware和Oracle VM VirtualBox虚拟机的区别，简述哪一个更适合我？

VMware和Oracle VM VirtualBox虚拟机的区别主要体现在以下几个方面： 首先两种软件的安装使用教程如下： 1：VMware ESXI 安装使用教程 2：Oracle VM VirtualBox安装使用教程 商业模式：VMware是一家商业公司，而…
阅读更多...
数据结构: 哈希桶

数据结构: 哈希桶

目录 1.概念 2.模拟实现 2.1框架 2.2哈希桶结构 2.3相关功能 Modify --Insert --Erase --Find 2.4非整型数据入哈希桶 1.仿函数 2.BKDR哈希 1.概念 具有相同地址的key值归于同一集合中,这个集合称为一个桶,各个桶的元素通过单链表链接 2.模拟实现 2.1框架 a.写出…
阅读更多...
oracle数据导出exp导入imp

oracle数据导出exp导入imp

Oracle的exp/imp命令用于实现对数据库的导出/导入操作； exp命令用于把数据从远程数据库服务器导出至本地，生成dmp文件； imp命令用于把本地的数据库dmp文件从本地导入到远程的Oracle数据库。 一、获取帮助信息 exp/imp helpy 二、数据导出 1…
阅读更多...
打破边界，一触即达——全新跨境电商业态，一键开启全球贸易新时代！

打破边界，一触即达——全新跨境电商业态，一键开启全球贸易新时代！

随着全球电子商务的飞速发展，跨境电商已成为连接国内外市场的桥梁。为了满足商家日益增长的海外拓展需求，我们重磅推出跨境电商源码商城，融合商家一键铺货、代理商后台、供货商后台、商品采集、短视频、直播、社交、分销、积分、多语言、国际…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023