Kubernetes身份认证和授权操作全攻略：K8s 访问控制入门

随着Kubernetes被广泛使用，成为业界公认的容器编排管理的标准框架，许多开发人员以及管理员对部署、弹性伸缩以及管理容器化应用程序等Kubernetes的关键概念都十分熟悉。而对于生产部署而言，Kubernetes的安全性至关重要。因此，了解平台如何管理用户和应用程序的身份认证和授权十分必要。

 

我们将推出一系列文章，以一种实践性的视角来了解平台内部的Kubernetes和Pod外部用户的身份认证和授权。我也会解释如何使用角色以及角色绑定来允许或限制资源访问。

 

API Server——Kubernetes网关

 

API为Kubernetes各类资源对象（如节点、标签、Pod、服务、部署、secrets、configmaps以及ingress等）提供访问接口。这些资源对象通过简单的REST API执行基本的CRUD（增删改查）操作。

 

Kubernetes的核心构建块之一是API Server，它作为Kubernetes的网关，是访问和管理资源对象的唯一入口。内部组件（如kubelet、调度程序和控制器）通过API Server访问API以进行编排和协调。分布式键/值数据库、etcd只能通过API Server访问。

通常我们可以通过命令行工具kubectl来与API Server进行交互。从kubectl发送的任何内容最终都会被API Server所接收。因此，多个工具和插件会直接或间接地使用相同的API。

 

即使在Kubernetes集群中访问或者操作对象之前，该请求也需要由API Server进行身份验证。REST路径使用基于