基于ServiceAccount的JWTToken认证

最新推荐文章于 2024-09-05 14:02:31 发布
最新推荐文章于 2024-09-05 14:02:31 发布
阅读量553 收藏 1
点赞数
文章标签： kubernetes 运维 docker
原文链接：https://www.cnblogs.com/zhangmingcheng/p/17304954.html
版权

1、概述

　　在 Kubernetes 官方手册中给出了 “用户” 的概念，Kubernetes 集群中存在的用户包括 “普通用户” 与 “ServiceAccount”， 但是 Kubernetes 没有普通用户的管理方式，通常只是将使用集群根证书签署的有效证书的用户都被视为合法用户。

　　那么对于使得 Kubernetes 集群有一个真正的用户系统，就可以根据上面给出的概念将 Kubernetes 用户分为“内部用户”与“外部用户”。如何理解内部与外部用户呢？实际上就是由 Kubernetes 管理的用户，即在 kubernetes 定义用户的数据模型这种为 “内部用户” ，正如 ServiceAccount；反之，非 Kubernetes 托管的用户则为 “外部用户”， 这种概念也更好的对 kubernetes 用户的阐述。

　　对于外部用户来说，实际上 Kubernetes 给出了多种用户概念，例如：

  • 拥有 kubernetes 集群证书的用户
  • 拥有 Kubernetes 集群 token 的用户（--token-auth-file指定的静态 token）
  • 用户来自外部用户系统，例如 OpenID，LDAP，QQ connect, google identity platform 等

      本文不过多介绍Kubernetes外部用户认证，主要讲解Kubernetes内部用户ServiceAccount的认证方式，即大部分Pod默认的认证方式（Pod和APIServer之间如果没有配置基于CA根证书签名的双向数字证书方式进行认证的话，则默认通过Token方式进行认证）。

注意：在之前博文中讲解过拥有kubernetes集群证书的用户的认证方式，详情见《Kubernetes客户端认证——基于CA证书的双向认证方式》。

2、基于ServiceAccount的JWTToken认证

2.1 ServiceAccount定义

ServiceAccount（服务帐户）与Namespace绑定，关联一套凭证，Pod创建时挂载Token，从而允许与API Server之间调用。ServiceAccount同样是Kubernetes中的资源，与Pod、ConfigMap类似，且作用于独立的命名空间，也就是ServiceAccount是属于命名空间级别的，创建命名空间时会自动创建一个名为default的ServiceAccount。

使用下面命令可以查看ServiceAccount。

1

2

3

[root@node1 ~]# kubectl get sa

NAME                SECRETS   AGE

default             1         356d

同时Kubernetes还会为ServiceAccount自动创建一个Token，使用下面命令可以查看到。

1

2

3

4

5

6

7

8

9

[root@node1 ~]# kubectl describe sa default

Name:                default

Namespace:           default

Labels:              <none>

Annotations:         <none>

Image pull secrets:  <none>

Mountable secrets:   default-token-p4l9w

Tokens:              default-token-p4l9w

Events:              <none>

在Pod的定义文件中，可以用指定帐户名称的方式将一个ServiceAccount赋值给一个Pod，如果不指定就会使用默认的ServiceAccount。当API Server接收到一个带有认证Token的请求时，API Server会用这个Token来验证发送请求的客户端所关联的ServiceAccount是否允许执行请求的操作。

注意：

  • 1.21以前版本的集群中，Pod中获取Token的形式是通过挂载ServiceAccount的Secret来获取Token，这种方式获得的Token是永久的。该方式在1.21及以上的版本中不再推荐使用，并且根据社区版本迭代策略，在1.25及以上版本的集群中，ServiceAccount将不会自动创建对应的Secret。

    1.21及以上版本的集群中，直接使用TokenRequest API获得Token，并使用投射卷（Projected Volume）挂载到Pod中。使用这种方法获得的Token具有固定的生命周期，并且当挂载的Pod被删除时这些Token将自动失效。详情请参见Token安全性提升说明。

  • 如果您在业务中需要一个永不过期的Token，您也可以选择手动管理ServiceAccount的Secret。尽管存在手动创建永久ServiceAccount Token的机制，但还是推荐使用TokenRequest的方式使用短期的Token，以提高安全性。

2.2 创建ServiceAccount

使用如下命令就可以创建ServiceAccount：

1

2

3

4

5

6

[root@node1 ~]# kubectl create serviceaccount sa-example

serviceaccount/sa-example created

[root@node1 ~]# kubectl get sa

NAME                SECRETS   AGE

default             1         356d

sa-example          1         6s

可以看到已经创建了与ServiceAccount相关联的Token。

1

2

3

4

5

6

7

8

9

[root@node1 ~]# kubectl describe sa sa-example

Name:                sa-example

Namespace:           default

Labels:              <none>

Annotations:         <none>

Image pull secrets:  <none>

Mountable secrets:   sa-example-token-42nbt

Tokens:              sa-example-token-42nbt

Events:              <none>

查看Secret的内容，可以发现ca.crt、namespace和token三个数据。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

[root@node1 ~]# kubectl describe secret sa-example-token-42nbt

Name:         sa-example-token-42nbt

Namespace:    default

Labels:       <none>

Annotations:  kubernetes.io/service-account.name: sa-example

              kubernetes.io/service-account.uid: 5c67e9c7-0b12-44ae-a97e-f2ee4cd061b0

Type:  kubernetes.io/service-account-token

Data

====

ca.crt:     1066 bytes

namespace:  7 bytes

token:      eyJhbGciOiJSUzI1NiIsImtpZCI6InpKM2o1WXg2b1pwQ0lyTjNWVU4wUjUzMTZuamt0LVZEQlNqbG5HLWNxdUUifQ.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJkZWZhdWx0Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZWNyZXQubmFtZSI6InNhLWV4YW1wbGUtdG9rZW4tNDJuYnQiLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC5uYW1lIjoic2EtZXhhbXBsZSIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VydmljZS1hY2NvdW50LnVpZCI6IjVjNjdlOWM3LTBiMTItNDRhZS1hOTdlLWYyZWU0Y2QwNjFiMCIsInN1YiI6InN5c3RlbTpzZXJ2aWNlYWNjb3VudDpkZWZhdWx0OnNhLWV4YW1wbGUifQ.FlL0EAeNYOqNpCmBG5QU0qAbGIVHjTP3hVMOL8nmiawmZsitSDupKrdbpIjFgS3VOTR8GZfZCnCnVI7fE0ZkZzt6kW7ILTRIiNbmedScI4w_FiSbGI-MX48HJAIgF0hrdJ3_Rc30-Or-fMxlligcO08OpSQrBT20J4LR6NM4B-r_s83b7Rwm7F95GWc5rmYZje1uRJfRuzqBwV4PLT5Ph7u_XDn8WS1XXWagq5qioySFV1Xg9Lb9nHXVNmTL2g0E2_RDqUFj-tsns8Xj3B9Yvm4CH5uS6PbV0UsdFlm-mCOF4vinDHSP4mH6CSBWyzRnl9vF7hbfNzW96rIKKSJ9CA　

注意：只有在1.23及之前版本的集群中，ServiceAccount才会自动创建Secret。

2.3 在Pod中使用ServiceAccount

Pod中使用ServiceAccount非常方便，只需要指定ServiceAccount的名称即可。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

apiVersion: v1

kind: Pod

metadata:

  name: sa-example

spec: 

  serviceAccountName: sa-example

  containers:

  - image: nginx:alpine            

    name: container-0              

    resources:                     

      limits:

        cpu: 100m

        memory: 200Mi

      requests:

        cpu: 50m

        memory: 100Mi

创建并查看这个Pod，可以看到Pod挂载了sa-example-token-c7bqx，即Pod使用这个Token来做认证。

1

2

3

4

5

6

7

8

9

10

11

12

13

[root@node1]# kubectl apply -f test-sa.yaml

pod/sa-example created

[root@node1 test]# kubectl get pods

NAME                                              READY   STATUS    RESTARTS   AGE

sa-example                                        1/1     Running   0          32s

[root@node1]#  kubectl describe pod sa-example

...

Containers:

  sa-example:

    Mounts:

      /var/run/secrets/kubernetes.io/serviceaccount from sa-example-token-42nbt (ro)

注意： 通过这个方式，您可以了解Pod的认证机制，但在实际使用中，出于安全性考虑，1.21及以上版本的集群中Pod中默认挂载的Token是临时的。

进入Pod内部，还可以看到对应的文件，如下所示：

1

2

3

4

5

[root@node1 ~]# kubectl exec -it sa-example /bin/sh

kubectl exec [POD] [COMMAND] is DEPRECATED and will be removed in a future version. Use kubectl exec [POD] -- [COMMAND] instead.

/ # cd /run/secrets/kubernetes.io/serviceaccount

/run/secrets/kubernetes.io/serviceaccount # ls

ca.crt     namespace  token

如上，在容器应用中，就可以使用ca.crt和Token来访问APIServer。

2.4 基于token访问APIServer

下面来验证一下认证是否能生效。在Kubernetes集群中，默认为API Server创建了一个名为kubernetes的Service，通过这个Service可以访问API Server。

1

2

3

[root@node1 ~]# kubectl get svc

NAME                         TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)               

kubernetes                   ClusterIP   10.233.0.1      <none>        443/TCP             356d

进入Pod，使用curl命令直接访问会报以下错误：

1

2

3

4

5

6

7

8

9

10

[root@node1 ~]# kubectl exec -it sa-example /bin/sh

kubectl exec [POD] [COMMAND] is DEPRECATED and will be removed in a future version. Use kubectl exec [POD] -- [COMMAND] instead.

/ # curl https://kubernetes

curl: (60) SSL certificate problem: unable to get local issuer certificate

More details here: https://curl.se/docs/sslcerts.html

curl failed to verify the legitimacy of the server and therefore could not

establish a secure connection to it. To learn more about this situation and

how to fix it, please visit the web page mentioned above.

/ #

注意：报错原因是因为curl客户端和Kube-Apiserver服务端建立的是SSL/TLS单向连接，curl和Kube-Apiserver建立连接过程中，Kube-Apiserver会将服务端证书返回给curl客户端，而curl客户端没有指定ca.crt，因此无法验证服务器的合法性，因此无法建立与它的安全连接。

使用ca.crt和Token做认证，先将ca.crt放到CURL_CA_BUNDLE这个环境变量中，curl命令使用CURL_CA_BUNDLE指定证书；再将Token的内容放到TOKEN中，然后带上TOKEN访问API Server。　

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

/ # export CURL_CA_BUNDLE=/var/run/secrets/kubernetes.io/serviceaccount/ca.crt

/ # TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)

/ # curl -H "Authorization: Bearer $TOKEN" https://kubernetes/api/v1/namespaces/default/pods

{

  "kind": "Status",

  "apiVersion": "v1",

  "metadata": {

     

  },

  "status": "Failure",

  "message": "pods is forbidden: User \"system:serviceaccount:default:sa-example\" cannot list resource \"pods\" in API group \"\" in the namespace \"default\"",

  "reason": "Forbidden",

  "details": {

    "kind": "pods"

  },

  "code": 403

}/ #

可以看到，已经能够通过认证了，但是API Server返回的是cannot get path \"/\""，表示没有权限访问，这说明还需要得到授权后才能访问，接下来为default命名空间下的ServiceAccount  sa-example关联Role使其能够获取Pod资源。

首先创建Role，Role的定义非常简单，指定namespace，然后就是rules规则。如下面示例中的规则就是允许对default命名空间下的Pod进行GET、LIST操作。

1

2

3

4

5

6

7

8

9

kind: Role

apiVersion: rbac.authorization.k8s.io/v1

metadata:

  namespace: default                          # 命名空间

  name: role-example

rules:

- apiGroups: [""]

  resources: ["pods"]                         # 可以访问pod

  verbs: ["get", "list"]                      # 可以执行GET、LIST操作

有了Role之后，就可以将Role与具体的用户绑定起来，实现这个的就是RoleBinding了。如下所示：

1

2

3

4

5

6

7

8

9

10

11

12

13

kind: RoleBinding

apiVersion: rbac.authorization.k8s.io/v1

metadata:

  name: rolebinding-example

  namespace: default

subjects:                                 # 指定用户

- kind: ServiceAccount                    # ServiceAccount

  name: sa-example

  namespace: default

roleRef:                                  # 指定角色

  kind: Role

  name: role-example

  apiGroup: rbac.authorization.k8s.io

在Kubernetes集群apply Role和Rolebind文件，现在再进入到sa-example这个Pod，使用curl命令通过API Server访问资源来验证权限是否生效。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

/ # export CURL_CA_BUNDLE=/var/run/secrets/kubernetes.io/serviceaccount/ca.crt

/ # TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)

/ # curl -H "Authorization: Bearer $TOKEN" https://kubernetes/api/v1/namespaces/default/pods

{

  "kind": "PodList",

  "apiVersion": "v1",

  "metadata": {

    "selfLink": "/api/v1/namespaces/default/pods",

    "resourceVersion": "10377013"

  },

  "items": [

    {

      "metadata": {

        "name": "sa-example",

......

返回结果正常，说明sa-example现在有LIST Pod的权限了。

注意 1：本示例中，sa-example Pod通过HTTPS单向认证方式与Kube-Apiserver服务端建立连接后，进入Kube-Apiserver认证过滤器链（默认支持CA认证和Token认证两种身份验证方式，因为客户端证书为空，所以不会执行CA认证过滤器逻辑），如果请求中包含Authorization头部，并且其值是以Bearer开头的Token，则进入Token认证过滤器逻辑，对JWT Token进行验证，如果Token未过期且签名有效，则认证成功，并从中获取Pod所使用的ServiceAccount的用户信息。认证成功后，进入Kube-Apiserver授权阶段，如果请求被授权，则继续处理；否则，Kube-Apiserver会返回HTTP 403未授权错误。

注意 2：本示例中，sa-example Pod和 API Server 之间建立了一个加密的 SSL/TLS 连接（HTTPS单向认证方式），所有的通信都会经过加密传输，包括客户端请求中的 token 信息和 Kube-Apiserver 的响应。这样可以确保通信过程中的安全性，同时防止任何未经授权的访问和攻击。HTTPS单向认证步骤如下：

  1. 客户端发起建立HTTPS连接请求，将SSL协议版本的信息发送给服务端。
  2. 服务端将自己的公钥证书（server.crt）发送给客户端。
  3. 客户端通过自己的根证书（ca.crt）验证服务端的公钥证书（server.crt）的合法性，取出服务端公钥。（如果验证公钥证书失败，则中断HTTPS连接）
  4. 客户端生成密钥R，用服务端公钥去加密它形成密文，发送给服务端。
  5. 服务端用自己的私钥（server.key）去解密这个密文，得到客户端的密钥R。
  6. 服务端和客户端使用密钥R进行通信。

注意 3： Kube-Apiserver tls客户端认证配置为RequestClientCert（客户端请求可以不发送客户端证书），即可以不使用SSL/TLS加密方式或仅使用SSL/TLS单向认证方式或使SSL/TLS双向认证方式与Kube-Apiserver服务端建立连接，所以不使用SSL/TLS加密方式方式认证与Kube-Apiserver服务端建立连接也是可以的。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

/ # curl -k  https://kubernetes/api/v1/namespaces/default/pods

{

  "kind": "Status",

  "apiVersion": "v1",

  "metadata": {

     

  },

  "status": "Failure",

  "message": "pods is forbidden: User \"system:anonymous\" cannot list resource \"pods\" in API group \"\" in the namespace \"default\"",

  "reason": "Forbidden",

  "details": {

    "kind": "pods"

  },

  "code": 403

/ # TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)

/ # curl -k -H "Authorization: Bearer $TOKEN" https://kubernetes/api/v1/namespaces/default/pods

{

  "kind": "PodList",

  "apiVersion": "v1",

  "metadata": {

    "selfLink": "/api/v1/namespaces/default/pods",

    "resourceVersion": "10377013"

  },

  "items": [

    {

      "metadata": {

        "name": "sa-example",

......

注意 4：Kube-Apiserver服务端监听的是tls端口，如果使用http方式访问是不行的（对HTTPS服务发起HTTP请求会报请求方式错误，Client sent an HTTP request to an HTTPS server.）。

1

2

3

/ # TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)

/ # curl -k -H "Authorization: Bearer $TOKEN" http://kubernetes/api/v1/namespaces/default/pods

curl: (52) Empty reply from server

3、总结

在 Kubernetes 中，Pod客户端和Kube-Apiserver服务端进行交互时，使用 token 进行身份验证的请求会使用 SSL/TLS 加密进行保护。具体来说，使用 token 进行身份验证的请求流程如下：

  1. 客户端使用提前生成好的 token 发起请求，将 token 附加在请求的 Authorization 头部。

  2. 客户端会首先与 API Server 建立一个加密的 SSL/TLS 连接，以保护通信的安全性。

  3. Kube-Apiserver 收到请求后，会对 token 进行验证，如果验证通过，进入Kube-Apiserver授权阶段，如果请求被授权，则继续处理；否则，Kube-Apiserver会返回HTTP 403未授权错误。

在这个过程中，客户端和 API Server 之间建立了一个加密的 SSL/TLS 连接，所有的通信都会经过加密传输，包括客户端请求中的 token 信息和 API Server 的响应。这样可以确保通信过程中的安全性，同时防止任何未经授权的访问和攻击。

https://zhixing.bjtu.edu.cn/space-uid-421764.html
https://zhixing.bjtu.edu.cn/space-uid-421765.html
https://zhixing.bjtu.edu.cn/space-uid-421766.html
https://zhixing.bjtu.edu.cn/space-uid-421767.html
https://zhixing.bjtu.edu.cn/space-uid-421768.html
https://zhixing.bjtu.edu.cn/space-uid-421769.html
https://zhixing.bjtu.edu.cn/space-uid-421770.html
https://zhixing.bjtu.edu.cn/space-uid-421771.html
https://zhixing.bjtu.edu.cn/space-uid-421772.html
https://zhixing.bjtu.edu.cn/space-uid-421773.html
https://zhixing.bjtu.edu.cn/space-uid-421774.html
https://zhixing.bjtu.edu.cn/space-uid-421775.html
https://zhixing.bjtu.edu.cn/space-uid-421776.html
https://zhixing.bjtu.edu.cn/space-uid-421777.html
https://zhixing.bjtu.edu.cn/space-uid-421778.html
https://zhixing.bjtu.edu.cn/space-uid-421779.html
https://zhixing.bjtu.edu.cn/space-uid-421780.html
https://zhixing.bjtu.edu.cn/space-uid-421781.html
https://zhixing.bjtu.edu.cn/space-uid-421782.html
https://zhixing.bjtu.edu.cn/space-uid-421783.html
https://zhixing.bjtu.edu.cn/space-uid-421784.html
https://zhixing.bjtu.edu.cn/space-uid-421785.html
https://zhixing.bjtu.edu.cn/space-uid-421786.html
https://zhixing.bjtu.edu.cn/space-uid-421787.html
https://zhixing.bjtu.edu.cn/space-uid-421788.html
https://zhixing.bjtu.edu.cn/space-uid-421789.html
https://zhixing.bjtu.edu.cn/space-uid-421790.html
https://zhixing.bjtu.edu.cn/space-uid-421791.html
https://zhixing.bjtu.edu.cn/space-uid-421792.html
https://zhixing.bjtu.edu.cn/space-uid-421793.html
https://zhixing.bjtu.edu.cn/space-uid-421794.html
https://zhixing.bjtu.edu.cn/space-uid-421795.html
https://zhixing.bjtu.edu.cn/space-uid-421796.html
https://zhixing.bjtu.edu.cn/space-uid-421797.html
https://zhixing.bjtu.edu.cn/space-uid-421798.html
https://zhixing.bjtu.edu.cn/space-uid-421799.html
https://zhixing.bjtu.edu.cn/space-uid-421800.html
https://zhixing.bjtu.edu.cn/space-uid-421801.html
https://zhixing.bjtu.edu.cn/space-uid-421802.html
https://zhixing.bjtu.edu.cn/space-uid-421803.html
https://zhixing.bjtu.edu.cn/space-uid-421804.html
https://zhixing.bjtu.edu.cn/space-uid-421805.html
https://zhixing.bjtu.edu.cn/space-uid-421806.html
https://zhixing.bjtu.edu.cn/space-uid-421807.html
https://zhixing.bjtu.edu.cn/space-uid-421808.html
https://zhixing.bjtu.edu.cn/space-uid-421809.html
https://zhixing.bjtu.edu.cn/space-uid-421810.html
https://zhixing.bjtu.edu.cn/space-uid-421811.html
https://zhixing.bjtu.edu.cn/space-uid-421812.html
https://zhixing.bjtu.edu.cn/space-uid-421813.html
https://zhixing.bjtu.edu.cn/space-uid-421814.html
https://zhixing.bjtu.edu.cn/space-uid-421815.html
https://zhixing.bjtu.edu.cn/space-uid-421816.html
https://zhixing.bjtu.edu.cn/space-uid-421817.html
https://zhixing.bjtu.edu.cn/space-uid-421818.html
https://zhixing.bjtu.edu.cn/space-uid-421819.html
https://zhixing.bjtu.edu.cn/space-uid-421820.html
https://zhixing.bjtu.edu.cn/space-uid-421821.html
https://zhixing.bjtu.edu.cn/space-uid-421822.html
https://zhixing.bjtu.edu.cn/space-uid-421823.html
https://zhixing.bjtu.edu.cn/space-uid-421824.html
https://zhixing.bjtu.edu.cn/space-uid-421825.html
https://zhixing.bjtu.edu.cn/space-uid-421826.html
https://zhixing.bjtu.edu.cn/space-uid-421827.html
https://zhixing.bjtu.edu.cn/space-uid-421828.html
https://zhixing.bjtu.edu.cn/space-uid-421829.html
https://zhixing.bjtu.edu.cn/space-uid-421830.html
https://zhixing.bjtu.edu.cn/space-uid-421831.html
https://zhixing.bjtu.edu.cn/space-uid-421832.html
https://zhixing.bjtu.edu.cn/space-uid-421833.html
https://zhixing.bjtu.edu.cn/space-uid-421834.html
https://zhixing.bjtu.edu.cn/space-uid-421835.html
https://zhixing.bjtu.edu.cn/space-uid-421836.html
https://zhixing.bjtu.edu.cn/space-uid-421837.html
https://zhixing.bjtu.edu.cn/space-uid-421838.html
https://zhixing.bjtu.edu.cn/space-uid-421839.html
https://zhixing.bjtu.edu.cn/space-uid-421840.html
https://zhixing.bjtu.edu.cn/space-uid-421841.html
https://zhixing.bjtu.edu.cn/space-uid-421842.html
https://zhixing.bjtu.edu.cn/space-uid-421843.html
https://zhixing.bjtu.edu.cn/space-uid-421844.html
https://zhixing.bjtu.edu.cn/space-uid-421845.html
https://zhixing.bjtu.edu.cn/space-uid-421846.html
https://zhixing.bjtu.edu.cn/space-uid-421847.html
https://zhixing.bjtu.edu.cn/space-uid-421848.html
https://zhixing.bjtu.edu.cn/space-uid-421849.html
https://zhixing.bjtu.edu.cn/space-uid-421850.html
https://zhixing.bjtu.edu.cn/space-uid-421851.html
https://zhixing.bjtu.edu.cn/space-uid-421852.html
https://zhixing.bjtu.edu.cn/space-uid-421853.html
https://zhixing.bjtu.edu.cn/space-uid-421854.html
https://zhixing.bjtu.edu.cn/space-uid-421855.html
https://zhixing.bjtu.edu.cn/space-uid-421856.html
https://zhixing.bjtu.edu.cn/space-uid-421857.html
https://zhixing.bjtu.edu.cn/space-uid-421858.html
https://zhixing.bjtu.edu.cn/space-uid-421859.html
https://zhixing.bjtu.edu.cn/space-uid-421860.html
https://zhixing.bjtu.edu.cn/space-uid-421861.html
https://zhixing.bjtu.edu.cn/space-uid-421862.html
https://zhixing.bjtu.edu.cn/space-uid-421863.html
https://zhixing.bjtu.edu.cn/space-uid-421864.html
https://zhixing.bjtu.edu.cn/space-uid-421865.html
https://zhixing.bjtu.edu.cn/space-uid-421866.html
https://zhixing.bjtu.edu.cn/space-uid-421867.html
https://zhixing.bjtu.edu.cn/space-uid-421868.html
https://zhixing.bjtu.edu.cn/space-uid-421869.html
https://zhixing.bjtu.edu.cn/space-uid-421870.html
https://zhixing.bjtu.edu.cn/space-uid-421871.html
https://zhixing.bjtu.edu.cn/space-uid-421872.html
https://zhixing.bjtu.edu.cn/space-uid-421873.html
https://zhixing.bjtu.edu.cn/space-uid-421874.html
https://zhixing.bjtu.edu.cn/space-uid-421875.html
https://zhixing.bjtu.edu.cn/space-uid-421876.html
https://zhixing.bjtu.edu.cn/space-uid-421877.html
https://zhixing.bjtu.edu.cn/space-uid-421878.html
https://zhixing.bjtu.edu.cn/space-uid-421879.html
https://zhixing.bjtu.edu.cn/space-uid-421880.html
https://zhixing.bjtu.edu.cn/space-uid-421881.html
https://zhixing.bjtu.edu.cn/space-uid-421882.html
https://zhixing.bjtu.edu.cn/space-uid-421883.html
https://zhixing.bjtu.edu.cn/space-uid-421884.html
https://zhixing.bjtu.edu.cn/space-uid-421885.html
https://zhixing.bjtu.edu.cn/space-uid-421886.html
https://zhixing.bjtu.edu.cn/space-uid-421887.html
https://zhixing.bjtu.edu.cn/space-uid-421888.html
https://zhixing.bjtu.edu.cn/space-uid-421889.html
https://zhixing.bjtu.edu.cn/space-uid-421890.html
https://zhixing.bjtu.edu.cn/space-uid-421891.html
https://zhixing.bjtu.edu.cn/space-uid-421892.html
https://zhixing.bjtu.edu.cn/space-uid-421893.html
https://zhixing.bjtu.edu.cn/space-uid-421894.html
https://zhixing.bjtu.edu.cn/space-uid-421895.html
https://zhixing.bjtu.edu.cn/space-uid-421896.html
https://zhixing.bjtu.edu.cn/space-uid-421897.html
https://zhixing.bjtu.edu.cn/space-uid-421898.html
https://zhixing.bjtu.edu.cn/space-uid-421899.html
https://zhixing.bjtu.edu.cn/space-uid-421900.html
https://zhixing.bjtu.edu.cn/space-uid-421901.html
https://zhixing.bjtu.edu.cn/space-uid-421902.html
https://zhixing.bjtu.edu.cn/space-uid-421903.html
https://zhixing.bjtu.edu.cn/space-uid-421904.html
https://zhixing.bjtu.edu.cn/space-uid-421905.html
https://zhixing.bjtu.edu.cn/space-uid-421906.html
https://zhixing.bjtu.edu.cn/space-uid-421907.html
https://zhixing.bjtu.edu.cn/space-uid-421908.html
https://zhixing.bjtu.edu.cn/space-uid-421909.html
https://zhixing.bjtu.edu.cn/space-uid-421910.html
https://zhixing.bjtu.edu.cn/space-uid-421911.html
https://zhixing.bjtu.edu.cn/space-uid-421912.html
https://zhixing.bjtu.edu.cn/space-uid-421913.html
https://zhixing.bjtu.edu.cn/space-uid-421914.html
https://zhixing.bjtu.edu.cn/space-uid-421915.html
https://zhixing.bjtu.edu.cn/space-uid-421916.html
https://zhixing.bjtu.edu.cn/space-uid-421917.html
https://zhixing.bjtu.edu.cn/space-uid-421918.html
https://zhixing.bjtu.edu.cn/space-uid-421919.html
https://zhixing.bjtu.edu.cn/space-uid-421920.html
https://zhixing.bjtu.edu.cn/space-uid-421921.html
https://zhixing.bjtu.edu.cn/space-uid-421922.html
https://zhixing.bjtu.edu.cn/space-uid-421923.html
https://zhixing.bjtu.edu.cn/space-uid-421924.html
https://zhixing.bjtu.edu.cn/space-uid-421925.html
https://zhixing.bjtu.edu.cn/space-uid-421926.html
https://zhixing.bjtu.edu.cn/space-uid-421927.html
https://zhixing.bjtu.edu.cn/space-uid-421928.html
https://zhixing.bjtu.edu.cn/space-uid-421929.html
https://zhixing.bjtu.edu.cn/space-uid-421930.html
https://zhixing.bjtu.edu.cn/space-uid-421931.html
https://zhixing.bjtu.edu.cn/space-uid-421932.html
https://zhixing.bjtu.edu.cn/space-uid-421933.html
https://zhixing.bjtu.edu.cn/space-uid-421934.html
https://zhixing.bjtu.edu.cn/space-uid-421935.html
https://zhixing.bjtu.edu.cn/space-uid-421936.html
https://zhixing.bjtu.edu.cn/space-uid-421937.html
https://zhixing.bjtu.edu.cn/space-uid-421938.html
https://zhixing.bjtu.edu.cn/space-uid-421939.html
https://zhixing.bjtu.edu.cn/space-uid-421940.html
https://zhixing.bjtu.edu.cn/space-uid-421941.html
https://zhixing.bjtu.edu.cn/space-uid-421942.html
https://zhixing.bjtu.edu.cn/space-uid-421943.html
https://zhixing.bjtu.edu.cn/space-uid-421944.html
https://zhixing.bjtu.edu.cn/space-uid-421945.html
https://zhixing.bjtu.edu.cn/space-uid-421946.html
https://zhixing.bjtu.edu.cn/space-uid-421947.html
https://zhixing.bjtu.edu.cn/space-uid-421948.html
https://zhixing.bjtu.edu.cn/space-uid-421949.html
https://zhixing.bjtu.edu.cn/space-uid-421950.html
https://zhixing.bjtu.edu.cn/space-uid-421951.html
https://zhixing.bjtu.edu.cn/space-uid-421952.html
https://zhixing.bjtu.edu.cn/space-uid-421953.html
https://zhixing.bjtu.edu.cn/space-uid-421954.html
https://zhixing.bjtu.edu.cn/space-uid-421955.html
https://zhixing.bjtu.edu.cn/space-uid-421956.html
https://zhixing.bjtu.edu.cn/space-uid-421957.html
https://zhixing.bjtu.edu.cn/space-uid-421958.html
https://zhixing.bjtu.edu.cn/space-uid-421959.html
https://zhixing.bjtu.edu.cn/space-uid-421960.html
https://zhixing.bjtu.edu.cn/space-uid-421961.html
https://zhixing.bjtu.edu.cn/space-uid-421962.html
https://zhixing.bjtu.edu.cn/space-uid-421963.html
https://zhixing.bjtu.edu.cn/space-uid-421964.html
https://zhixing.bjtu.edu.cn/space-uid-421965.html
https://zhixing.bjtu.edu.cn/space-uid-421966.html
https://zhixing.bjtu.edu.cn/space-uid-421967.html
https://zhixing.bjtu.edu.cn/space-uid-421968.html
https://zhixing.bjtu.edu.cn/space-uid-421969.html
https://zhixing.bjtu.edu.cn/space-uid-421970.html
https://zhixing.bjtu.edu.cn/space-uid-421971.html
https://zhixing.bjtu.edu.cn/space-uid-421972.html
https://zhixing.bjtu.edu.cn/space-uid-421973.html

需要注意的是，虽然使用 token 进行身份验证的请求会经过 SSL/TLS 加密进行保护，但是 SSL/TLS 加密并不能完全防止所有的安全威胁，因此在实际使用中，仍然需要采取其他安全措施来保障 Kubernetes 环境的安全性。

edunlun
关注
使用ServiceAccount Token的方式访问集群
qingdao666666的博客
08-22 701
erviceaccount的权限由集群中对应的rolebinding决定，官方文档 https://kubernetes.io/docs/reference/access-authn-authz/rbac/ 请选择对应权限的ServiceAccount来获取token，我这边选择的是admin ServiceAccount 1、获取ServiceAccount kubectl get sa admin -n kube-system -o yaml apiVersion:...
基于微服务网关gateway的token认证机制（完整版）
热门推荐
郄梦岩的博客
01-12 1万+
去年写了一个基于前端vue的token认证。现在把后端的也补上。以前在网上看到过一篇，基于此篇改造了一下。 只需要6步即可。直接复制粘贴即可直接使用！ 需引入如下包： <dependency> <groupId>org.projectlombok</groupId> <artifac...
在 kubectl 中使用 Service Account Token
Kubernetes中文社区
08-24 2769
在运行基于 Kubernetes 的 CI/CD 过程中，经常有需求在容器中对 Kubernetes 的资源进行操作，其中隐藏的安全问题，目前推荐的最佳实践也就是使用 Service Account 了。而调试账号能力的最好方法，必须是 kubectl 了。下面就讲讲如何利用 kubectl 引用 Servie Account 凭据进行 Kubernetes 操作的方法。 这里用 def
Service Account 与 User Account 的区别及token获取
最新发布
抛物线的博客
09-05 1051
获取跨 Namespace 的 Service Account 的 Token，可以通过配置 RBAC（基于角色的访问控制）来完成。下面是详细的步骤和解释，如何创建一个 Service Account，并绑定到具有集群权限的 ClusterRole，然后获取其 Token。来管理 Service Account 的权限，可以为其提供精细化的访问控制，从而满足不同场景下的需求。首先，我们需要创建一个 Service Account，指定它将在默认的 Namespace 中。的详细信息，确保其正确配置。
k8s之 service account token
fengcai_ke的博客
07-11 2219
k8s sa token
蓝易云：配置k8s的一个serviceaccount具有管理员权限并获取他的token教程
高性价比服务器就选：蓝易云
10-15 511
首先，我们需要创建一个ServiceAccount和一个ClusterRoleBinding，将ClusterRole（集群角色）绑定到ServiceAccount上。现在，你已经成功配置了一个拥有管理员权限的ServiceAccount，并获取了它的Token。ServiceAccount的Token是用于身份验证的凭证。注意：ServiceAccount的Token具有管理员权限，因此请妥善保管和使用。字段的那一行，后面的长字符串就是ServiceAccount的Token。
Kubernetes客户端认证—— 基于ServiceAccount的JWTToken认证
2301_77342543的博客
08-04 433
在 Kubernetes 官方手册中给出了 “用户” 的概念，Kubernetes 集群中存在的用户包括 “普通用户” 与 “ServiceAccount”， 但是 Kubernetes 没有普通用户的管理方式，通常只是将使用集群根证书签署的有效证书的用户都被视为合法用户。那么对于使得 Kubernetes 集群有一个真正的用户系统，就可以根据上面给出的概念将 Kubernetes 用户分为“内部用户”与“外部用户”。如何理解内部与外部用户呢？
SpringBoot下token短信验证登入登出权限操作(token存放redis,ali短信接口)
08-25
Account account = accountService.findByUserName(phone); if (account == null) { return ResultVOUtil.error(0, "未注册用户"); } ValueOperations, String> ops = redisTemplate.opsForValue(); String ...
全网最简单的k8s User JWT token管理器
github_35614077的博客
02-21 1076
kubernetes集群三步安装 概述 kubernetes server account的token很容易获取，但是User的token非常麻烦，本文给出一个极简的User token生成方式，让用户可以一个http请求就能获取到。 token主要用来干啥 官方dashboard登录时需要。 如果通过使用kubeconfig文件登录而文件中又没有token的话会失败，现在大部分文章都介绍使用...
基于springboot实现JWT登录拦截及验证(超详细版)
Java程序员十六的博客
06-26 729
基于Springboot通过Jwt实现登录拦截及验证
三段代码搞懂go-jwt做token登录校验的基本使用
weixin_45566022的博客
07-08 757
由于本来搭建的是基于gin+go-micro+etcd的微服务架构，生成token放在了用户服务，校验则放在了api网关，因此两边代码可能重复。 用户服务端 package handler import ( "context" "errors" "fmt" "github.com/dgrijalva/jwt-go" "math/rand" "micro-file-store/common" "micro-file-store/conf" "micro-file-store/database
k8s用ServiceAccount Token的方式访问apiserver
海鸥
04-15 2888
在kubernetes集群，可以登陆到master集群，可以使用私钥证书的方式访问。证书路径：master的/etc/kubernetes/pki/(ca.crt / apiserver.crt / apiserver.key) 下面。 # server是apiserver公网访问地址 curl --cacert ca.crt --cert apiserver.crt --key apiserver.key https://$server/api 这里再介绍一下使用ServiceAccount T
Kubernetes Service Account如何生成Token
weixin_30399797的博客
04-10 1210
Service Account是运行pods用到的帐号，默认是default。如果apiserver启动配置--admission-control=ServiceAccount，Service Account就要生成Token才能启动pods或者连接apiserver进行操作。下面讲讲如何把默认Service Account（default）生成Token。 1，生成serviceaccount...
Kubernetes_认证授权_ServiceAccount_服务账号全解析
毛毛的专栏
10-23 2151
梳理出ServiceAccount服务账号一条线
APIServer 认证 ServiceAccount
小楼一夜听春雨，深巷明朝卖杏花
07-12 2000
的SerivceAccount后，我们来看一下这个ServiceAccount的内容。我们按照前面yaml文件创建Pod，那么apiserver将会把该ServiceAccount的Secret挂载到Pod的路径。然后，然后apiserver的serviceaccount认证器拿到这个ServiceAccountToken后，利用参数。从外部访问Apiserver的安全端口时，客户端需要携带一个身份凭证，能够让apiserver认证为某个用户以及所属的组。我们来看一下这个Secret的内容，如下。
k8s基础学习-serviceaccount
weixin_30251587的博客
05-14 276
什么是service account? 顾名思义，相对于user account（比如：kubectl访问APIServer时用的就是user account），service account就是Pod中的Process用于访问Kubernetes API的account，它为Pod中的Process提供了一种身份标识。相比于user account的全局性权限，service account更适...
C#分布式登录——jwt
逆-血
01-12 5560
文章目录一、传统的session登录二、基于token的鉴权机制三、Json web token1.生成jwt数据2.jwt解析验证四、JWT的问题 一、传统的session登录 在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie,以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。 在asp.net core中可以简单实现： 代码如下（示例）： // This method gets called b
.net core 3.1JWT用户权限认证（二）获取token
dawei.tu的博客
06-21 2821
.net core 3.1JWT用户权限认证（二）获取token 直接上案列 引入程序集 第二步 建立token接口，和token实现类 public interface IJwtTokenService { //获取token的方法 public string GetToken(); } public class JwtTokenService : IJwtTokenService { private readonly
SpringBoot+JWT：实现Token登录权限认证详解
此外，还可以创建一个专门的TokenService来处理JWT的签发、验证和刷新等功能。 结合SpringBoot和JWT，开发者可以构建一个安全、高效的用户登录认证系统，适用于各种规模的Web应用，特别是对于分布式和微服务架构。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值