25-k8s集群中-RBAC用户角色资源权限

news2024/10/7 5:24:35

一、RBAC概述

1，k8s集群的交互逻辑（简单了解）

        我们通过k8s各组件架构，指导各个组件之间是使用https进行数据加密及交互的，那么同理，我们作为“使用”k8s的各种资源，也是通过https进行数据加密的；

        k8s通过我们家目录下的证书来判断我们是谁？通过证书内容，认定我们的权限；

用户证书的位置

[root@k8s231 ~]# ll -a .kube/config 
-rw------- 1 root root 5634 Jan  1 19:40 .kube/config

2，k8s的安全架构（简单了解）

3，RBAC用户授权的逻辑（重要）

用户/主题Topic

        1,User

        2,SerciceAccount

        3,Group

用户角色：

        1，Role：局部资源角色

        2，ClusterRole：全局资源角色

角色绑定：

        1，RoleBinding

        2，ClusterRoleBinding

4，查看现有的集群默认角色

[root@k8s231 ~]# kubectl get clusterrole | grep -v system

admin：主要用于授权命名空间所有读写的权限

cluster-admin:超级管理员，由集群所有权限

edit：允许对大多数对象进行读写操作，不允许查看或者修改角色、角色绑定；

view：允许对命名空间大多数对象进行读写，不允许查看角色、角色绑定、secret；

#####

kubeadm用户，只有使用kubeadm部署k8s时才会出现，不用关心它；

二、流程介绍

1，用户的创建流程

1,User

2,SerciceAccount

3,Group

        本质上讲，在k8s系统中，用户，就是一个文件，这个文件在当前登录用户的家目录下；

这个文件config，就代表“我”是谁；

        这里面并没有角色、权限信息，角色和权限信息，在其他位置；

[root@k8s231 ~]# ll .kube/config 
-rw------- 1 root root 5634 Jan  1 19:40 .kube/config

        所以，要创建用户，就是要创建这个文件；

        那么如何创建这个文件呐？

· ssl流程介绍

        知道了ssl原理，https请求过程，我们就了解了，ssl的安全机制；

        实际上k8s当中“根证书”早就生成好了，在我们kubeadm部署的时候，就自动帮我们生成了；

        k8s是模拟ca机构，给自己颁发证书，自己验证自己，所以，整数中有私钥、公钥等；

[root@k8s231 ~]# ll /etc/kubernetes/pki/
total 56
-rw-r--r-- 1 root root 1281 Jan  1 19:39 apiserver.crt
-rw-r--r-- 1 root root 1155 Jan  1 19:39 apiserver-etcd-client.crt
-rw------- 1 root root 1679 Jan  1 19:39 apiserver-etcd-client.key
-rw------- 1 root root 1675 Jan  1 19:39 apiserver.key
-rw-r--r-- 1 root root 1164 Jan  1 19:39 apiserver-kubelet-client.crt
-rw------- 1 root root 1679 Jan  1 19:39 apiserver-kubelet-client.key

#根证书
-rw-r--r-- 1 root root 1099 Jan  1 19:39 ca.crt

#ca机构的私钥
-rw------- 1 root root 1679 Jan  1 19:39 ca.key
drwxr-xr-x 2 root root  162 Jan  1 19:39 etcd
-rw-r--r-- 1 root root 1115 Jan  1 19:39 front-proxy-ca.crt
-rw------- 1 root root 1675 Jan  1 19:39 front-proxy-ca.key
-rw-r--r-- 1 root root 1119 Jan  1 19:39 front-proxy-client.crt
-rw------- 1 root root 1679 Jan  1 19:39 front-proxy-client.key
-rw------- 1 root root 1675 Jan  1 19:39 sa.key
-rw------- 1 root root  451 Jan  1 19:39 sa.pub

· 生成用户证书

        一个用户一个证书，这个用户证书，就是用来生成，用户文件的（也就是家目录下的config）

· 生成kubeconfig用户授权文件

        有了这个授权文件，我们就拥有了一个用户了；

        但是，还没有任何权限，还无法使用；

2，创建角色和规则

        通过资源清单的方式，创建角色和规则；

        角色就是：

1，Role：局部资源角色

2，ClusterRole：全局资源角色

        规则就是：这个角色的权限；能使用什么资源、不能使用什么资源，，，，

3，角色与用户的绑定

        根据角色的不同，创建资源清单，对应不同的绑定资源清单的编写；

1，RoleBinding

2，ClusterRoleBinding

        只要角色和用户绑定完成，那么，RBAC的整个流程就结束了；

        我们就成功创建了一个带有特定权限的用户；就可以分发给“同事”进行使用了；

4，逻辑流程的总结

三、RBAC创建初体验

1，创建用户【user】

· 生成用户ssl证书

        以往我们使用openssl的工具命令生成证书，比较繁琐，本次学习，我给大家介绍一个证书生成工具，叫做cfssl证书生成工具；

1，上传/下载cfssl证书生成工具

cfssl工具百度网盘地址：

链接：https://pan.baidu.com/s/1gDRQuxekvgInplLkpjvhQw?pwd=f31x 
提取码：f31x

或者去github地址下载：Releases · cloudflare/cfssl · GitHub

[root@k8s231 rbac]# rz -E
[root@k8s231 rbac]# ll
-rw-r--r-- 1 root root 10808877 Nov  8 00:30 cfssl.zip

2，解压cfssl工具压缩包

[root@k8s231 rbac]# unzip cfssl.zip 
[root@k8s231 rbac]# ll
-rw-r--r-- 1 root root 12054528 Aug 30 15:46 cfssl_1.6.4_linux_amd64
-rw-r--r-- 1 root root  9560064 Aug 30 15:45 cfssl-certinfo_1.6.4_linux_amd64
-rw-r--r-- 1 root root  7643136 Aug 30 15:48 cfssljson_1.6.4_linux_amd64
-rw-r--r-- 1 root root 10808877 Nov  8 00:30 cfssl.zip

3，删除压缩包，将cfssl文件改名

        为什么改名？为了便于使用~如果你不嫌费力，可以不改~

[root@k8s231 rbac]# rm -rf cfssl.zip 
[root@k8s231 rbac]# rename _1.6.4_linux_amd64 "" *
[root@k8s231 rbac]# ll
-rw-r--r-- 1 root root 12054528 Aug 30 15:46 cfssl
-rw-r--r-- 1 root root  9560064 Aug 30 15:45 cfssl-certinfo
-rw-r--r-- 1 root root  7643136 Aug 30 15:48 cfssljson

4，将cfssl文件编程全局命令

        将这三个文件，移动到/usr/local/bin目录下，编程全局命令~

[root@k8s231 rbac]# mv ./* /usr/local/bin/

5，给cfssl执行文件加执行权限

[root@k8s231 rbac]# chmod +x /usr/local/bin/cfssl*

6，编辑cfssl工具的生成用户ssl证书的配置文件

        根证书

[root@k8s231 rbac]# cat ca-config.json 
{
  "signing": {
    "default": {
      "expiry": "87600h"
    },
    "profiles": {
      "kubernetes": {
        "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"
        ],
        "expiry": "87600h"
      }
    }
  }
}

        客户端验证签名证书

[root@k8s231 rbac]# cat csr.json 
{
  "CN": "xinjizhiwa",
  "hosts": [],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "ST": "BeiJing",
      "L": "BeiJing",
      "O": "k8s",
      "OU": "System"
    }
  ]
}

7，使用cfssl工具生成用户的ssl证书

[root@k8s231 rbac]# cfssl gencert -ca=/etc/kubernetes/pki/ca.crt -ca-key=/etc/kubernetes/pki/ca.key -config=ca-config.json -profile=kubernetes csr.json | cfssljson -bare xinjizhiwa

参数解释：

#使用k8s自带的证书来签发客户端证书（位置就在/etc/kubernetes/pki/下面）；
-ca=/etc/kubernetes/pki/ca.crt 
-ca-key=/etc/kubernetes/pki/ca.key 
-config=ca-config.json 
-profile=kubernetes csr.json | cfssljson -bare xinjizhiwa

查看证书

[root@k8s231 rbac]# ll
total 20
-rw-r--r-- 1 root root  292 Feb 21 20:06 ca-config.json
-rw-r--r-- 1 root root  223 Feb 21 20:07 csr.json
-rw-r--r-- 1 root root 1001 Feb 21 20:11 xinjizhiwa.csr
-rw------- 1 root root 1675 Feb 21 20:11 xinjizhiwa-key.pem
-rw-r--r-- 1 root root 1285 Feb 21 20:11 xinjizhiwa.pem

至此，我们用户的ssl证书申请完毕了；

· 生成用户kubeconfig文件

1，编辑生成kubeconfig文件的执行脚本

[root@k8s231 rbac]# cat kubeconfig.sh 
#!/bin/bash

# 配置集群;
# --certificate-authority：指定K8s的ca根证书文件路径
# --embed-certs：
#   1，true，表示将根证书文件的内容写入到配置文件中，
#   2，false,则只是引用配置文件，将kubeconfig
# --server：指定APIServer的地址。
# --kubeconfig：指定kubeconfig的配置文件名称
kubectl config set-cluster xinjizhiwa-cluster \
  --certificate-authority=/etc/kubernetes/pki/ca.crt \
  --embed-certs=true \
  --server=https://10.0.0.231:6443 \
  --kubeconfig=xinjizhiwa.kubeconfig
 
# 设置客户端认证，客户端将来需要携带证书让服务端验证
kubectl config set-credentials xinjizhiwa-client \
  --client-key=xinjizhiwa-key.pem \
  --client-certificate=xinjizhiwa.pem \
  --embed-certs=true \
  --kubeconfig=xinjizhiwa.kubeconfig

# 设置默认上下文，可以用于绑定多个客户端和服务端的对应关系（客户端和服务端绑定）。
kubectl config set-context xinjizhiwa \
  --cluster=xinjizhiwa-cluster \
  --user=xinjizhiwa-client \
  --kubeconfig=xinjizhiwa.kubeconfig

# 设置当前使用的上下文(正式生效)
kubectl config use-context xinjizhiwa --kubeconfig=xinjizhiwa.kubeconfig

2，执行生成kubeconfig用户文件的执行脚本

        正式生成用户

[root@k8s231 rbac]# bash kubeconfig.sh 
Cluster "xinjizhiwa-cluster" set.
User "xinjizhiwa-client" set.
Context "xinjizhiwa" created.
Switched to context "xinjizhiwa".

查看生成的kubeconfig用户文件

[root@k8s231 rbac]# ll
......
-rw------- 1 root root 5802 Feb 21 20:24 xinjizhiwa.kubeconfig

拓展知识：也可以使用config资源清单编写生成用户kubeconfig文件

[root@k8s231 rbac]# cat xinjizhiwa.kubeconfig 
apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: ......(/etc/kubernetes/pki/ca.crt)
    server: https://10.0.0.231:6443
  name: xinjizhiwa-cluster
contexts:
- context:
    cluster: xinjizhiwa-cluster
    user: xinjizhiwa-client
  name: xinjizhiwa
current-context: xinjizhiwa
kind: Config
preferences: {}
users:
- name: xinjizhiwa-client
  user:
    client-certificate-data: .......（xinjizhiwa.pem或者写入公钥串，pem记得base64 -d之后使用）
    client-key-data: ......(xinjizhiwa-key.pem)

此时使用这个用户，取查看pod，会提示你没有权限，因为咱们还没有创建、绑定角色；

[root@k8s231 rbac]# kubectl get pods --kubeconfig=xinjizhiwa.kubeconfig

至此，我们用户“xinjizhiwa”就创建完成了；

2，创建角色编写规则

· 编辑角色资源清单

        上述内容中，我们知道，角色有两种，一种是全局角色ClusterRole，另一种是局部角色Role；

        我们先创建一个局部的Role角色作为学习；

[root@k8s231 rbac]# cat role.yaml 
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: xinjizhiwa-role
  namespace: default
rules:
  #声明API组;[""]代表v1；["apps"]代表apps/v1
- apiGroup: ["","apps"]
  #声明API组下面的资源类型（不支持简写，只能写全称）
  resources: ["pods","deployments","services"]
  #声明使用方式（动作增删改查、、）
  verbs: ["get","list","delete"]

· 创建角色

[root@k8s231 rbac]# kubectl apply -f role.yaml

查看角色

[root@k8s231 rbac]# kubectl get role
NAME              CREATED AT
xinjizhiwa-role   2024-02-21T13:19:34Z

至此，用户和角色及规则都创建成功了；

3，绑定用户与角色

· 编辑绑定资源清单

[root@k8s231 rbac]# cat bind.yaml 
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: xinjizhiwa-bind
  namespace: default
#声明用户主体（绑定的用户是哪个）
subjects:
#由于我们用户类型有三种，所以需要写明用户类型；
- kind: User
  #用户名称
  name: xinjizhiwa
  apiGroup: rbac.authorization.k8s.io
#声明角色主体（绑定的角色是哪个？）
roleRef: 
  #角色类型
  kind: Role
  #角色名称
  name: xinjizhiwa-role
  apiGroup: rbac.authorization.k8s.io

· 创建绑定资源

[root@k8s231 rbac]# kubectl apply -f bind.yaml

4，测试用户

协议个pod资源，使用用户“xinjizhiwa”创建，发现创建不了，提示权限不够；

因为，我们在创建角色规则的时候，只给了删除、和查看的能力，没有给create创建能力；

[root@k8s231 rbac]# cat pod.yaml 
apiVersion: v1
kind: Pod
metadata:
  name: pod-nginx
spec:
  containers:
  - name: c1
    image: nginx:1.20.1-alpine

[root@k8s231 rbac]# kubectl apply -f pod.yaml --kubeconfig=xinjizhiwa.kubeconfig

因为我们有default默认名称空间的查看、删除权限，所以我们可以进行查看；

测试查看功能

[root@k8s231 rbac]# kubectl get pods --kubeconfig=xinjizhiwa.kubeconfig

测试删除功能

[root@k8s231 rbac]# kubectl delete deploy --all --kubeconfig=xinjizhiwa.kubeconfig

到此，普通用户的创建、角色绑定、角色配置就学习完毕了；

四、其他节点使用用户登录操作k8s

        我们有了用户文件，将用户文件发送给“同事”，同事直接使用这个文件，就可以按照绑定的规则，操作k8s资源了；

1，模拟将用户文件发给同事

        比如，同事正在使用k8s233，我们把用户文件发给他

[root@k8s231 rbac]# scp xinjizhiwa.kubeconfig k8s233:/root/

2，同事在k8s233使用用户文件操作k8s资源

[root@k8s233 ~]# kubectl get pods --kubeconfig=xinjizhiwa.kubeconfig

3，操作资源不指定文件，默认指定设置

[root@k8s233 ~]# cp xinjizhiwa.kubeconfig ./.kube/config

[root@k8s233 ~]# kubectl get pods

五、用户组Group案例

1，用户组的概念

1，用户组的好处在于，无需单独为一个用户创建权限和绑定了，只需要统一把一个组进行授权，然后，将该组的用户加入进去，就没一个用户都拥有该组的权限了；

2，APIserver会优先校验用户名（ssl证书中的CN字段），若用户名没有对应的权限，则再去校验用户组（o）的权限；

        k8s中的用户、用户组都是提取ssl证书签名字段中的一个字段，不是在集群中创建的；

--证书签名中的CN字段：代表用户

--证书签名中的o字段：代表用户组

2，创建用户组Group

· 编辑cfssl证书请求文件

[root@k8s231 group]# cat ca-group.json 
{
  "signing": {
    "default": {
      "expiry": "87600h"
    },
    "profiles": {
      "kubernetes": {
        "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"
        ],
        "expiry": "87600h"
      }
    }
  }
}

[root@k8s231 group]# cat xinjizhiwa-csr.json 
{
  "CN": "xinjizhiwa",
  "hosts": [],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "ST": "BeiJing",
      "L": "BeiJing",
      "O": "xinjizhiwa-group",
      "OU": "System"
    }
  ]
}

· 生成用户组证书

再次声明，你创建的是用户、还是用户组，取决于你的证书名称选择的签名字段，选择的是CN还是o；

[root@k8s231 group]# cfssl gencert -ca=/etc/kubernetes/pki/ca.crt -ca-key=/etc/kubernetes/pki/ca.key -config=ca-group.json -profile=kubernetes xinjizhiwa-csr.json | cfssljson -bare xinjizhiwa-group

· 编辑脚本生成用户组kubeconfig用户组文件

[root@k8s231 group]# cat kubeconfig.sh 
#!/bin/bash

kubectl config set-cluster xinjizhiwa-cluster \
  --certificate-authority=/etc/kubernetes/pki/ca.crt \
  --embed-certs=true \
  --server=https://10.0.0.231:6443 \
  --kubeconfig=xinjizhiwa-group.kubeconfig
 
# 设置客户端认证
kubectl config set-credentials xinjizhiw-client \
  --client-key=xinjizhiwa-group-key.pem \
  --client-certificate=xinjizhiwa-group.pem \
  --embed-certs=true \
  --kubeconfig=xinjizhiwa-group.kubeconfig

# 设置默认上下文
kubectl config set-context xinjizhiwa-group \
  --cluster=xinjizhiwa-cluster \
  --user=xinjizhiw-client \
  --kubeconfig=xinjizhiwa-group.kubeconfig

# 设置当前使用的上下文
kubectl config use-context xinjizhiwa-group --kubeconfig=xinjizhiwa-group.kubeconfig

· 执行脚本生成用户组文件

[root@k8s231 group]# bash kubeconfig.sh

3，创建角色、绑定用户组

· 编辑资源清单

[root@k8s231 group]# cat rbac.yaml 
#创建角色
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: default
  name: role-group
rules:
- apiGroups: ["","apps"]  
  resources: ["pods","nodes","services","deployments"]  
  verbs: ["get", "watch", "list","create"]  

---
#绑定用户组与角色
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: group-rolebinding
  namespace: default
#声明要绑定的用户/用户组
subjects:
  # 声明主体类型：组
- kind: Group
  # 组名(对应的O字段)
  name: xinjizhiwa-group  
  apiGroup: rbac.authorization.k8s.io
roleRef:
  # 角色类型
  kind: Role  
  # 绑定角色名称
  name: role-group
  apiGroup: rbac.authorization.k8s.io

· 创建用户组kubeconfig文件

[root@k8s231 group]# kubectl apply -f rbac.yaml

此时，我们就拥有了xinjizhiwa-group这个用户组了；

4，创建用户加入用户组

· 创建用户

[root@k8s231 user]# cat ca-config.json 
{
  "signing": {
    "default": {
      "expiry": "87600h"
    },
    "profiles": {
      "kubernetes": {
        "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"
        ],
        "expiry": "87600h"
      }
    }
  }
}
 

[root@k8s231 user]# cat group-user-xjzw.json 
{
  "CN": "xjzw",
  "hosts": [],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "ST": "BeiJing",
      "L": "BeiJing",
      "O": "xinjizhiwa-group",
      "OU": "System"
    }
  ]
}

生成用户证书

[root@k8s231 user]# cfssl gencert -ca=/etc/kubernetes/pki/ca.crt -ca-key=/etc/kubernetes/pki/ca.key -config=ca-config.json -profile=kubernetes group-user-xjzw.json | cfssljson -bare xjzw

· xjzw用户加入用户组

1，编辑生成kubeconfig用户文件的执行脚本

[root@k8s231 user]# ca kubeconfig.sh 
-bash: ca: command not found
[root@k8s231 user]# cat kubeconfig.sh 
#!/bin/bash

kubectl config set-cluster xinjizhiwa-cluster \
  --certificate-authority=/etc/kubernetes/pki/ca.crt \
  --embed-certs=true \
  --server=https://10.0.0.231:6443 \
  --kubeconfig=xjzw.kubeconfig
 
# 设置客户端认证
kubectl config set-credentials xjzw-client \
  --client-key=xjzw-key.pem \
  --client-certificate=xjzw.pem \
  --embed-certs=true \
  --kubeconfig=xjzw.kubeconfig

# 设置默认上下文
kubectl config set-context xinjizhiwa-contest \
  --cluster=xinjizhiwa-cluster \
  --user=xjzw-client \
  --kubeconfig=xjzw.kubeconfig

# 设置当前使用的上下文
kubectl config use-context xinjizhiwa-contest --kubeconfig=xjzw.kubeconfig

2，执行脚本

[root@k8s231 user]# bash kubeconfig.sh

5，测试用户是否拥有用户组的权限

[root@k8s231 user]# kubectl get pods --kubeconfig=xjzw.kubeconfig

总结，只要拥有了用户组，我们创建用户的时候，签名中“O”字段，与用户组名相同，那么创建出来的用户，就拥有了用户组的权限，就不在需要配置角色、绑定了；方便了很多；

六、基于【服务账号serviceaccount】授权

        serviceaccount用户，简称sa资源，用于自动化程序的用户创建；

        创建sa用户，就不需要使用证书来创建了，它是k8s集群中的一个资源，sa资源；

1，创建sa资源

· 声明式创建

[root@k8s231 sa]# vim sa01.yaml
apiVersion: v1
kind: ServiceAccount
metadata: 
  name: py01

[root@k8s231 sa]# kubectl apply -f sa01.yaml 
serviceaccount/py01 created

查看sa服务账号

[root@k8s231 sa]# kubectl get sa
NAME      SECRETS   AGE
default   1         51d
py01      1         4s

· 响应式创建

[root@k8s231 sa]# kubectl create serviceaccount py02

查看sa用户

[root@k8s231 sa]# kubectl get sa
NAME      SECRETS   AGE
default   1         51d
py01      1         2m4s
py02      1         4s

2，授权python程序对k8s-API的访问权限

· 创建用户

[root@k8s231 sa]# kubectl create serviceaccount py02

· 创建角色

[root@k8s231 sa]# vim role.yaml

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: python-role
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get","watch","list"]

[root@k8s231 sa]# kubectl apply -f role.yaml

· 绑定sa账号和角色

[root@k8s231 sa]# vim bind.yaml

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: python-role-sa
subjects:
- kind: ServiceAccount 
  name: py02
roleRef:
  kind: Role
  name: python-role
  apiGroup: rbac.authorization.k8s.io

[root@k8s231 sa]# kubectl apply -f bind.yaml

3，部署一个python的pod资源

[root@k8s231 sa]# vim pod.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: dm-py
spec:
  replicas: 2
  selector:
    matchLabels:
      apps: python
  template:
    metadata:
      labels:
         apps: python
    spec:
      #这里就是sa账号，指定sa的名称，请确认该账号是有权限访问K8S集群的哟!
      serviceAccountName: py02
      containers:
      - image: python:3.9.16-alpine3.16
        name: py
        command:
        - tail 
        - -f
        - /etc/hosts

[root@k8s231 sa]# kubectl apply -f pod.yaml

4，进入pod中执行python代码

[root@k8s231 sa]# kubectl exec -it dm-py-64975879c8-b9sxg -- sh
/ # python --version
Python 3.9.16

#写一个python脚本
/ # cat > view-k8s-resources.py <<EOF
> from kubernetes import client, config
> 
> with open('/var/run/secrets/kubernetes.io/serviceaccount/token') as f:
>      token = f.read()
> 
> configuration = client.Configuration()
> configuration.host = "https://kubernetes"  # APISERVER地址
> configuration.ssl_ca_cert="/var/run/secrets/kubernetes.io/serviceaccount/ca.crt"  # CA证书 
> configuration.verify_ssl = True   # 启用证书验证
> configuration.api_key = {"authorization": "Bearer " + token}  # 指定Token字符串
> client.Configuration.set_default(configuration)
> apps_api = client.AppsV1Api() 
> core_api = client.CoreV1Api() 
> try:
>   print("###### Deployment列表 ######")
>   #列出default命名空间所有deployment名称
>   for dp in apps_api.list_namespaced_deployment("default").items:
>     print(dp.metadata.name)
> except:
>   print("没有权限访问Deployment资源！")
> 
> try:
>   #列出default命名空间所有pod名称
>   print("###### Pod列表 ######")
>   for po in core_api.list_namespaced_pod("default").items:
>     print(po.metadata.name)
> except:
>   print("没有权限访问Pod资源！")
> EOF
/ # 

####安装py使用k8s的插件########
/ # pip install kubernetes -i https://pypi.tuna.tsinghua.edu.cn/simple/

#执行python脚本

/ # python3 view-k8s-resources.py
###### Deployment列表 ######
没有权限访问Deployment资源！
###### Pod列表 ######
dm-py-64975879c8-b9sxg
dm-py-64975879c8-z76fp
pod-nginx

至此，关于k8s的RBAC的学习，就此结束；

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1462666.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

4 编写达梦插件包

4 编写达梦插件包

1、初始化达梦数据库 具体脚本可以参考： https://github.com/nacos-group/nacos-plugin/blob/develop/nacos-datasource-plugin-ext/nacos-dm-datasource-plugin-ext/src/main/resources/schema/nacos-dm.sql
阅读更多...
国际阿里云，想要使用怎么解决支付问题

国际阿里云，想要使用怎么解决支付问题

在国内我们很多时候都需要用到国际阿里云&#xff0c;在国际阿里云需要使用就需要支付&#xff0c;自己办理visa卡比较麻烦&#xff0c;那么我们可以使用虚拟卡&#xff0c;虚拟卡办理快速简单 真实测评使用Fomepay的5347支持国际阿里云的支付&#xff0c;秒下卡&#xff0c;不…
阅读更多...
Talk｜北京大学杨灵：扩散模型的算法创新与领域应用

Talk｜北京大学杨灵：扩散模型的算法创新与领域应用

本期为TechBeat人工智能社区第572期线上Talk。 北京时间2月21日(周三)20:00&#xff0c;北京大学博士生—杨灵的Talk已准时在TechBeat人工智能社区开播&#xff01; 他与大家分享的主题是: “扩散模型的算法创新与领域应用”&#xff0c;系统地介绍了他的团队基于扩散模型的算法…
阅读更多...
vue3在router跳转路由时，params失效问题

vue3在router跳转路由时，params失效问题

vue-router重要提示。 解决方案&#xff1a; 1. 使用query传参 但是变量会直接暴露在url中 2.用store或localStorage这种办法暂存一下。
阅读更多...
书生·浦语大模型实战营第二节课作业

书生·浦语大模型实战营第二节课作业

使用 InternLM-Chat-7B 模型生成 300 字的小故事&#xff08;基础作业1&#xff09;。 熟悉 hugging face 下载功能&#xff0c;使用 huggingface_hub python 包&#xff0c;下载 InternLM-20B 的 config.json 文件到本地&#xff08;基础作业2&#xff09;。 下载过程 进阶…
阅读更多...
Vue+SpringBoot打造校园二手交易系统

Vue+SpringBoot打造校园二手交易系统

目录 一、摘要1.1 项目介绍1.2 项目录屏 二、功能模块2.1 数据中心模块2.2 二手商品档案管理模块2.3 商品预约管理模块2.4 商品预定管理模块2.5 商品留言板管理模块2.6 商品资讯管理模块 三、实体类设计3.1 用户表3.2 二手商品表3.3 商品预约表3.4 商品预定表3.5 留言表3.6 资讯…
阅读更多...
蓝桥杯备赛系列——倒计时50天！

蓝桥杯备赛系列——倒计时50天！

蓝桥杯备赛系列 倒计时50天&#xff01; 前缀和和差分 知识点 **前缀和数组&#xff1a;**假设原数组用a[i]表示&#xff0c;前缀和数组用sum[i]表示&#xff0c;那么sum[i]表示的是原数组前i项之和&#xff0c;注意一般用前缀和数组时&#xff0c;原数组a[i]的有效下标是从…
阅读更多...
PotPlayer+Alist挂载并播放网盘视频

PotPlayer+Alist挂载并播放网盘视频

文章目录 说明技术WebDAVPotPlayer 操作步骤一&#xff1a;Alist开启WebDAV代理二&#xff1a;PotPlayer连接Alist 说明 Alist网页端播放视频受限&#xff0c;主要是文件大于20MB&#xff0c;由于官方限制&#xff0c;无法播放需要使用user-agent修改插件&#xff0c;设置百度…
阅读更多...
ES项目应用

ES项目应用

配置: ES存储了2-3亿条&#xff0c;几百GB ES集群有5 个节点 2主2副 ES返回数据量窗口大小设置 index.max_result_window 深度翻页 1.from size 方式 2.scroll相当于维护了一份当前索引段的快照信息&#xff0c;这个快照信息是你执行这个scroll查询时的快照。在这个查询后的任…
阅读更多...
【selenium】八大元素定位方式｜xpath css id name...

【selenium】八大元素定位方式｜xpath css id name...

目录 一、基础元素定位 二、cssSelector元素定位——通过元素属性定位 三、xpath元素定位——通过路径 1 、xpath绝对定位 &#xff08;用的不多&#xff09; 缺点&#xff1a;一旦页面结构发生变化&#xff08;比如重新设计时&#xff0c;路径少两节&#xff09;&#x…
阅读更多...
跨境电商营销推广：法律合规指引与风险管理策略

跨境电商营销推广：法律合规指引与风险管理策略

在全球数字化时代&#xff0c;跨境电商正成为国际贸易的重要组成部分。然而&#xff0c;在跨境电商的营销推广过程中&#xff0c;合规问题不容忽视。为了避免法律纠纷&#xff0c;企业需要了解并遵守各国的法律法规。本文将深入探讨跨境电商在营销推广中需要遵守的法律法规&…
阅读更多...
Android 面试问题 2024 版（其二）

Android 面试问题 2024 版（其二）

Android 面试问题 2024 版&#xff08;其二&#xff09; 六、多线程和并发七、性能优化八、测试九、安全十、Material设计和 **UX/UI** 六、多线程和并发 Android 中的进程和线程有什么区别&#xff1f; 答&#xff1a;进程是在自己的内存空间中运行的应用程序的单独实例&…
阅读更多...
数据分析（二）自动生成分析报告

数据分析（二）自动生成分析报告

1. 报告生成思路概述 怎么快速一份简单的数据分析报告&#xff0c;注意这个报告的特点&#xff1a; --网页版&#xff0c;可以支持在线观看或者分享HTML文件 --标题&#xff0c;动图&#xff0c;原始数据应有尽有 --支持交互&#xff0c;比如plotly交互画面&#xff0c;数据…
阅读更多...
leetcode hot100单词拆分

leetcode hot100单词拆分

在本题中&#xff0c;我们是要把一个字符串&#xff0c;判断是否能用给的字符串数组中的单词进行拆分&#xff0c;如果可以则返回true&#xff0c;不能的话则返回false。这个题一开始看无法与背包问题联系在一起。但仔细考虑&#xff0c;就是用物品&#xff08;给的字符串数组中…
阅读更多...
运维的利器–监控–zabbix–第二步：建设–部署zabbix agent

运维的利器–监控–zabbix–第二步：建设–部署zabbix agent

文章目录 监控客户端部署及添加主机一、在 zabbix-server 安装客户端二、在本机和其他linux主机安装zabbix agent客户端1、安装2、配置3、启动并开机自启4、添加主机创建主机组创建主机等一会或重启zabbix-server查看配置是否成功 三、在其他windows上安装zabbix agent客户端下…
阅读更多...
用于扫描机密的开源解决方案

用于扫描机密的开源解决方案

TruffleHog 最初是在 2016 年独立创作的一个研究工具。当发布它时&#xff0c;没有工具扫描 Git 修订历史记录以获取秘密。我的预感是旧版本的代码中隐藏着很多秘密&#xff0c;但没有工具可以查找它们。 我的预感是对的。该工具迅速流行并变得非常流行。如今&#xff0c;它在…
阅读更多...
贝叶斯统计——入门级笔记

贝叶斯统计——入门级笔记

绪论 1.1 引言 全概率公式 贝叶斯公式 三种信息 总体信息 当把样本视为随机变量时&#xff0c;它有概率分布&#xff0c;称为总体分布&#xff0e; 如果我们已经知道总体的分布形式这就给了我们一种信息&#xff0c;称为总体信息 样本信息 从总体中抽取的样本所提供的信息 先…
阅读更多...
公共用例库计划--个人版（八）pyinstaller打包pyqt6，从168 MB到40.2 MB

公共用例库计划--个人版（八）pyinstaller打包pyqt6，从168 MB到40.2 MB

1、任务概述 本次计划的核心任务是开发一个&#xff0c;个人版的公共用例库&#xff0c;旨在将各系统和各类测试场景下的通用、基础以及关键功能的测试用例进行系统性地归纳整理&#xff0c;并以提高用例的复用率为目标&#xff0c;力求最大限度地减少重复劳动&#xff0c;提升…
阅读更多...
Maven私服搭建Nexus3

Maven私服搭建Nexus3

第一部分&#xff1a;仓库部署 下载地址&#xff1a;https://help.sonatype.com/en/download.html 备用下载链接&#xff0c;部分已经失效了 解压后会有两个文件夹&#xff1a; nexus-3.20.1-01 sonatype-work 访问地址配置路径 \nexus-3.20.1-01\bin\nexus.vmoptions -Xms1…
阅读更多...
企业为何选择芯片运营管理ERP?

企业为何选择芯片运营管理ERP?

随着科技的飞速发展和市场竞争的加剧&#xff0c;企业对于运营管理的需求也日益增强。在这一背景下&#xff0c;越来越多的企业开始选择芯片运营管理ERP(企业资源规划)系统&#xff0c;以提升自身的运营效率和竞争力。那么&#xff0c;企业为何选择芯片运营管理ERP呢? 芯片运营…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023