k8s etcd 权限与角色 用户创建 https安全访问实现总结

已于 2023-04-05 09:30:52 修改
阅读量722 收藏 4
点赞数 1
分类专栏： docker+k8s etcd 文章标签： kubernetes etcd 安全
于 2023-04-03 08:51:36 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/liuyij3430448/article/details/129921284
版权

k8s etcd 权限与角色 用户创建 https安全访问实现总结

大纲

  • 1 开启安全认证
  • 2 权限配置总结
  • 3 创建角色
  • 4 创建用户分配角色
  • 5 ectd https访问
  • 6 etcd 服务端认证实现
  • 7 etcd 客户端认证实现

开启Etcd安全认证

配置root用户角色和权限

在开启etcd认证前必须先创建root用户并且角色必须是root

在这里插入图片描述

创建root用户并赋予root角色 注意 etcd默认存在一个root权限 可以操作任意数据

./etcdctl user add root  --endpoints=192.168.0.160:2479 
./etcdctl user grant-role root root --endpoints=192.168.0.160:2479
#默认存在root角色

在这里插入图片描述

赋予root角色

在这里插入图片描述

使用/etcdctl auth enable --user=root --password=123456 --endpoints=192.168.0.160:2479开启权限认证

在这里插入图片描述

后续所有的请都需要带上–user --password 才能正常访问了

./etcdctl get key --user=root --password=123456  --endpoints=192.168.0.160:2479

权限配置总结

创建角色

查看角色

/etcdctl role list

注意： ectd中的role 权限主要是对key的操作权限

权限相关的命令

  • role add 创建角色
  • role delete 删除角色
  • role get 查看角色
  • role grant-permission 配置角色权限
  • role list 查询所有角色
  • role revoke-permission 撤销角色权限

例如 创建一个devops角色有如下权限操作

  • 对 /dev开头的key 有读写权限 ,对 k1 ~ k100 有读写权限 [k1 k100)
  • 对/test开头的key只有查询权限，对/ops开头的key只有写权限
	./etcdctl role add devops  --user=root --password=123456  --endpoints=192.168.0.160:2479
	./etcdctl role grant-permission devops  readwrite /dev --prefix=true  --user=root --password=123456  --endpoints=192.168.0.160:2479
	./etcdctl role grant-permission devops  readwrite k1 k100  --user=root --password=123456  --endpoints=192.168.0.160:2479 
	./etcdctl role grant-permission devops  read /test --prefix=true  --user=root --password=123456  --endpoints=192.168.0.160:2479
	./etcdctl role grant-permission devops  write /ops --prefix=true  --user=root --password=123456  --endpoints=192.168.0.160:2479 
	./etcdctl role get devops   --user=root --password=123456  --endpoints=192.168.0.160:2479

在这里插入图片描述

创建用户

查看所有用户

/etcdctl use list

用户相关的命令

  • user add 新增用户
  • user delete 删除用户
  • user get 查询用户
  • user grant-role 给用户分配权限
  • user list 查询所有用户
  • user passwd 修改密码
  • user revoke-role 撤销用户权限

例如 创建一个liuyijiang用户并赋予devops角色

./etcdctl user add liuyijiang   --user=root --password=123456  --endpoints=192.168.0.160:2479 
./etcdctl user grant-role liuyijiang devops   --user=root --password=123456  --endpoints=192.168.0.160:247
创建用户 并 赋予 角色

在这里插入图片描述

测试权限效果

在这里插入图片描述

开启Etcd https访问

目前的请求都是http请求，使用如下命令时

查询key= /dev
./etcdctl get /dev --user=liuyijiang --password=12345 --endpoints=http://192.168.0.160:2479

–user=liuyijiang --password=12345都是明文传输的会有密码泄露的风险

Etcd支持https访问接口

Etcd服务端认证

服务端认证：即客户端访问服务端的时候，客户端需要知道自己访问的服务端是否是真的服务端。 所以服务端需要证明自己的真伪性

类似使用浏览器访问阿里云的时候，浏览器去帮我们确认访问的网址是否是真正的阿里云网站

所以需要服务端提供证明自己的证书

整体结构如下：

在这里插入图片描述

实现Etcd服务端认证步骤如下

Step1 创建相关证书

例如Etcd服务器部署在192.168.0.160这台服务器上

这里使用cfssl 来创建需要的证书 关于cfssl的使用见 《使用cfssl为程序添加https证书》

需要创建一个根证书，并用根证书签发server端的证书 server端证书证明自己就是192.168.0.160这台服务器上的Etcd

创建根CA根证书的配置文件 ca-csr.json 如下 （见 /crt/单机服务端认证/ca-csr.json）

{
    "CN": "ETCD-CA", 
    "key": {
        "algo": "rsa", 
        "size": 2048 
    },
    "names": [
        {
             "C": "CN", 
             "L": "Chengdu", 
             "ST": "Sichuan", 
             "O": "ETCD-CA", 
             "OU": "System" 
        }
    ],
    "ca": { 
       "expiry":"8760h"
    }
}

CA根证书签署配置文件ca-config.json如下 （见 /crt/单机服务端认证/ca-config.json）

{
    "signing":{
        "default":{
            "expiry":"8760h"
        },
        "profiles":{
            "server":{ //一个配置项server
                "expiry":"8760h",
                "usages":[
                    "signing",
                    "key encipherment",
                    "server auth"  //使用服务端认证模式
                ]
            }
        }
    }
}

服务端证书签名申请配置 server-csr.json 如下 （见 /crt/单机服务端认证/server-csr.json）

{
    "CN": "server", 
    "hosts":["192.168.0.160","127.0.0.1"], //指定host 即向客户端证明192.168.0.160和127.0.0.1 这个两个ip就是服务端所在的ip
    "key": {
        "algo": "rsa", 
        "size": 2048  
    },
    "names": [
        {
             "C": "CN", 
             "L": "Chengdu", 
             "ST": "Sichuan", 
             "O": "server", 
             "OU": "System" 
        }
    ]
}

创建根证书：

cfssl gencert -initca ca-csr.json | cfssljson -bare ca

根证书签署的服务端证书 ：

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=server server-csr.json | cfssljson -bare server

在这里插入图片描述

产出物

  • ca.pem 根证书
  • server-key.pem 服务端证书私钥
  • server.pem 服务端证书

其中ca.pem根证书将给客户端(etcdctl)使用，server-key.pem和server.pem将给服务端使用

Step2 给etcd服务端配置证书

启动etcd命令如下

./etcd --name=simple-node --data-dir=/ops/etcd/etcd-v3.5.0-linux-amd64/data --wal-dir=/ops/etcd/etcd-v3.5.0-linux-amd64/wallog --listen-client-urls=https://0.0.0.0:2479 --advertise-client-urls=https://0.0.0.0:2479  --cert-file=/ops/cfssl/etcd/server.pem  --key-file=/ops/cfssl/etcd/server-key.pem
参数说明：
--listen-client-urls=https://0.0.0.0:2479	  注意这里需要使用https
--advertise-client-urls=https://0.0.0.0:2479  注意这里需要使用https
--cert-file=/ops/cfssl/etcd/server.pem    指定服务端证书
--key-file=/ops/cfssl/etcd/server-key.pem   指定服务端证书私钥

在这里插入图片描述

Step3 etcdctl 客户端使用https访问

这里使用前面创建的liuyijiang用户访问ectd

命令如下 注意指定根证书–cacert=./ca.pem

./etcdctl get /dev --user=liuyijiang --password=123456  --cacert=./ca.pem --endpoints=https://192.168.0.160:2479 
参数说明：
--cacert=./ca.pem   指定根证书
--endpoints=https://192.168.0.160:2479  访问的服务端地址 注意https

在这里插入图片描述

这种Etcd服务端认证其实类似于浏览器访问https的网站，关键点如下

  • 1 服务端需要配置证书私钥
  • 2 客服端访问时需要指定根证书
  • 3 利用根证书实现对服务端提供的证书的认证实现安全访问

Etcd客户端认证

客户端认证：即客户端（用户）访问服务端的时候，服务端需要知道客户端（用户）是否真实的客户端（用户），所以客户端需要证明自己的真伪性

所以需要客户端提供证明自己的证书

整体结构如下：

在这里插入图片描述

这样客户端(用户)就不需要使用账号密码而直接使用证书实现访问Etcd

实现Etcd服务端认证步骤如下

Step1 创建相关证书

注意 使用Etcd客户端认证 需要保证etcd中已经存在对应的用户并且用户已经配置好权限

给前面创建的liuyijiang用户创建证书

根证书创建和 Etcd服务端认证时创建根证书方式一致

CA根证书签署配置文件ca-config.json如下 （见 /crt/单机客户端认证/ca-config.json）

{
    "signing":{
        "default":{
            "expiry":"8760h"
        },
        "profiles":{
            "server":{
                "expiry":"8760h",
                "usages":[
                    "signing",
                    "key encipherment",
                    "server auth"
                ]
            },
             "client":{ //增加一个配置项 client 注意usages 中使用"client auth"
                "expiry":"8760h",
                "usages":[
                    "signing",
                    "key encipherment",
                    "client auth"
                ]
            }
        }
    }
}

客户端证书签名申请配置 liuyijiang-csr.json 如下 （见 /crt/单机客户端认证/liuyijiang-csr.json）

{
    "CN": "liuyijiang", //注意CN必须对应ectd中存在的用户名称
    "key": {
        "algo": "rsa", 
        "size": 2048  
    },
    "names": [
        {
             "C": "CN", 
             "L": "Chengdu", 
             "ST": "Sichuan", 
             "O": "server", 
             "OU": "System" 
        }
    ]
}

根证书签署的客户端证书 ：

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=client liuyijiang-csr.json | cfssljson -bare liuyijiang

在这里插入图片描述

产出物

  • liuyijiang-key.pem 客户端证书私钥 即liuyijiang这个用户的私钥
  • liuyijiang.pem 客户端证书 即liuyijiang这个用户的证书

Step2 给etcd服务端配置证书并开启客户端认证

./etcd --name=simple-node --data-dir=/ops/etcd/etcd-v3.5.0-linux-amd64/data --wal-dir=/ops/etcd/etcd-v3.5.0-linux-amd64/wallog --listen-client-urls=https://0.0.0.0:2479 --advertise-client-urls=https://0.0.0.0:2479 --client-cert-auth=true --trusted-ca-file=/ops/cfssl/etcd/ca.pem  --cert-file=/ops/cfssl/etcd/server.pem  --key-file=/ops/cfssl/etcd/server-key.pem
参数说明
--listen-client-urls=https://0.0.0.0:2479	  注意这里需要使用https
--advertise-client-urls=https://0.0.0.0:2479  注意这里需要使用https
--cert-file=/ops/cfssl/etcd/server.pem    指定服务端证书
--key-file=/ops/cfssl/etcd/server-key.pem   指定服务端证书私钥
--client-cert-auth=true 指定开启客户端认证
--trusted-ca-file=/ops/cfssl/etcd/ca.pem  指定根证书（用于验证客户端证书）

在这里插入图片描述

Step3 etcdctl 客户端使用https访问

命令如下 注意没有使用–user --password

./etcdctl get /dev --cert=./liuyijiang.pem --key=./liuyijiang-key.pem --cacert=./ca.pem  --endpoints=https://192.168.0.160:2479 
参数说明：
--cert=./liuyijiang.pem 指定客户端证书
--key=./liuyijiang-key.pem 指定客户端证书私钥
--cacert=./ca.pem 指定根证书
--endpoints=https://192.168.0.160:2479  访问的服务端地址 注意https

在这里插入图片描述

Etcd客户端认证关键点如下

  • 1 etcd会使用客户端证书中的CN配置名称找到对应的用户
  • 2 可以省略–user --password配置账号密码
  • 3 整个操作过程是加密访问
寂寞的4角钱
关注
  • 1
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
专栏目录
etcd权限控制
天使也掉毛
01-09 1791
ETCD权限控制 有两个概念，一个是用户user，另一个是角色role。用户可以绑定多个角色， 而每个角色对应着多组权限控制，权限包括 读、写、读写。 这样理解(角色就是包含多个路径权限对儿)： role1 /x/a read /x/b write ... role2 /x/c write role3 /x/* readwrite user 可以...
etcd v2权限机制
ZeaLoVe
04-14 1155
 权限系统概念 https://github.com/coreos/etcd/blob/master/Documentation/v2/authentication.md etcd权限-官方文档etcd 2.X以前是不带权限的，2.X以上的版本才支持权限etcd通过设置用户-角色关联，角色和权限关联，通过设置这些信息，使得指定的用户对某些目录拥有指定的权限。etcd默认不启用权限机制，需要手...
etcd+https部署
weixin_34391854的博客
06-18 182
关闭防火墙 关闭selinux 下载所需的包(cfssl,生成证书工具) mkdir /usr/local/src/etcd/ cd /usr/local/src/etcd/ wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64 wge...
K8s- 运行Pod时的root用户和非root用户的安全相关配置
最新发布
dzqxwzoe的博客
05-30 1110
1 ）概述2 ）正常场景whoamiid -uhostname3 ）启用 privilegedhostname4 ）在 yaml 中配置 securityContext 和 privileged。
etcd开启https
一二三四吾
11-24 2966
上节(etcd在docker中使用)etcd已经可以正常使用,这节讲讲如何开启htpps 1 生成签名 1.1 下载 cfssl mkdir ~/bin curl -s -L -o ~/bin/cfssl https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 curl -s -L -o ~/bin/cfssljson https://pkg.cfssl.org/...
[转]etcd 启用 https
aao41053的博客
04-08 299
1， 生成 TLS 秘钥对 2，拷贝密钥对到所有节点 3，配置 etcd 使用证书 4，测试 etcd 是否正常 5，配置 kube-apiserver 使用 CA 连接 etcd 6，测试 kube-apiserver 7，未解决的问题 SSL/TSL 认证分单向认证和双向认证两种方式。简单说就是单向认证只是客户端对服务端的身份进行验证，双向认证是客户端和...
kubernetes K8S超详细安装部署手册
02-02
- **初始化**：在K8S集群的Master和Node节点上进行必要的初始化配置，包括但不限于网络设置、安全策略等。 - **安装Docker**：确保每个节点上都安装有Docker或其他兼容的容器运行时环境，以支持容器的运行。 - **...
内网服务器加入k8s集群部署文件
02-18
内网服务器加入Kubernetes（k8...总结，内网服务器加入K8s集群的部署是一项涉及多层面的技术任务，需要深入理解K8s架构、网络原理以及安全策略。每个环节都需要仔细规划和执行，以构建一个高效、安全的容器化应用平台。
最新搭建高可用K8S集群文档 （基于K8S 1.15）
10-19
- **使用RBAC（Role-Based Access Control）**：设置角色和权限，确保只有授权的用户和service account可以操作资源。 - **证书管理**：Kubernetes使用TLS证书进行安全通信，定期更新和管理这些证书是必要的。 ...
K8s-cks必备技能攻略
02-07
用户认证及授权体系（RBAC）是指在K8s集群中对用户进行认证和授权的机制，可以根据用户的角色和权限来控制用户对K8s集群的访问权限。 CNI网络介绍： CNI（container network interface）是容器网络接口，它是一种...
Kubernetes（k8s）面试题.pdf
05-10
RBAC提供了一种机制来管理对Kubernetes API的访问权限，通过角色和角色绑定来控制用户和系统组件的权限。 **42. 什么是Kubernetes Admission Controllers？** Admission Controllers是可插入的钩子，在创建或更新...
etcd 添加用户，授权特定目录
qq_23109825的博客
10-24 789
适用场景 多组共用etcd集群，创建一个新用户、新目录，让这个新用户只有新目录的使用权限。 命令和顺序 创建目录，注意此处是v2 curl -u root:pwd http://host:2379/v2/keys/dir -XPUT -d dir=true 查看用户列表 ./etcdctl -u root:pwd --endpoints=http://host:2379 user list ...
etcd启用https服务
weixin_33728268的博客
04-15 129
目录 cfssl相关工具下载 生成etcd所需要的ssl证书 生成ca证书 生成etcd服务端证书 生成etcd客户端证书 修改etcd集群配置文件 重启etcd集群 验证集群健康情况 ...
etcd v3用户权限操作
liao__ran的博客
06-10 1184
增加root用户: /data/etcd/etcd/etcdctl --endpoints http://192.168.73.222:9002,http://192.168.73.222:9004,http://192.168.73.222:9006 user add root 创建用户：RootRead,RootWrite,RootReadWrite /data/etcd/etcd/etcdctl --endpoints http://192.168.73.222:9002,http://192.16
k8s集群———etcd-ssl自签名证书
asdfghj1221的博客
03-18 527
etcd集群master节点安装 1，自签名SSL证书 ##安装工具cfssl $ cat cfssl.sh curl -L https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 -o /usr/local/bin/cfssl curl -L https://pkg.cfssl.org/R1.2/cfssljson_linux-amd6...
java https etcd_Etcd入门教程
weixin_39859220的博客
02-13 242
etcd是一个类似于zk的工具，用于保存值，节点-值这种映射关系的。节点组织结构类似unix文件系统结构，从/最开始。比如一个/test/name节点，值为guanxianseng。可以通过etcdctl这个客户端，执行命令etcdctl set /test/name guanxianseng也可以通过客户端命令，获取我们设置的值etcdctl get /test/name当然这里返回的值就是gu...
etcd走https协议集群搭建
weixin_60092693的博客
10-06 1054
学习实验
etcd权限系统认证过程加cache
ZeaLoVe
04-14 496
最近在研究etcd的权限机制，etcd用的认证方式比较简单basic auth。原理也比较简单易懂，但轻率上线后，发现一个大坑，就是认证时候用来比较密码的哈希是bcript，而且是每个请求都会调。这个耗时很大，导致集群性能下降的厉害，基本不能用了。   查遍官方文档，说3.1+ 用https common name的方式可以解决这个问题，但是我就不想上https，涉及改造的工作量有点大，就...
在Kubernetes中实现HTTPS安全访问
windfbi
07-12 199
生成自签名证书：使用工具（如OpenSSL）生成自签名证书。请注意，自签名证书不受信任的证书颁发机构（CA）签署，因此在浏览器或客户端中可能会显示不安全的警告。以下是一个示例命令来生成自签名证书。使用Ingress资源来配置HTTP和HTTPS路由规则。创建一个名为my-ingress的Ingress配置文件，并将以下内容添加到文件中。将生成的私钥和证书文件添加到Kubernetes集群中的Secret对象。可以选择购买证书，也有部分。这里使用自签名证书。
K8s集群部署：etcd安装与证书创建
"该资源是关于在Linux环境中部署Kubernetes(K8S)集群的教程，特别关注了etcd的安装和证书配置。" 在Kubernetes集群中，etcd是一个关键组件，它是一个分布式的、一致性的键值存储系统，用于保存整个集群的状态信息。...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

寂寞的4角钱

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值