K8s --k8s访问控制

目录

kubernetes API 相关简介

创建sa

授权 --全局授权

API Server 是K8s重要的管理API 层。它负责提供restful api访问端点, 并且将数据持久化到etcd server中。Kubernetes 集群中，API Server 扮演着交互入口的位置。API Server 不仅负责和 etcd 交互（其他组件不会直接操作 etcd，只有 API Server 这么做），并切对外提供统一的API调用入口, 所有的交互都是以 API Server 为核心的。

kubernetes API 访问控制

Authentication（认证）

认证方式现共有8种，可以启用一种或多种认证方式，只要有一种认证方式通过，就不再进行其它方式的认证。通常启用X509 Client Certs和Service Accout Tokens两种认证方式。 

Kubernetes集群有两类用户：由Kubernetes管理的Service Accounts （服务账户）和（Users Accounts） 普通账户。k8s中账号的概念不是我们理解的账号，它并不真的存在，它只是形式上存在。 

Authorization（授权）

必须经过认证阶段，才到授权请求，根据所有授权策略匹配请求资源属性，决定允许或拒绝请求。授权方式现共有6种，AlwaysDeny、AlwaysAllow、ABAC、RBAC、Webhook、Node。默认集群强制开启RBAC。 

Admission Control（准入控制） 用于拦截请求的一种方式，运行在认证、授权之后，是权限认证链上的最后一环，对请求API资源对象进行修改和校验。

访问k8s的API Server的客户端主要分为两类：

kubectl ：用户家目录中的 .kube/config 里面保存了客户端访问API Server的密钥相关信息，这样当用kubectl访问k8s时，它就会自动读取该配置文件，向API Server发起认证，然后完成操作请求。

pod：Pod中的进程需要访问API Server，如果是人去访问或编写的脚本去访问，这类访问使用的账号为：UserAccount；而Pod自身去连接API Server时，使用的账号是：ServiceAccount，生产中后者使用居多。

kubectl向apiserver发起的命令,采用的是http方式,其实就是对URL发起增删改查的操作。

$ kubectl  proxy --port=8888 &

$ curl http://localhost:8888/api/v1/namespaces/default

$ curl http://localhost:8888/apis/apps/v1/namespaces/default/deployments 

以上两种api的区别是：

api它是一个特殊链接,只有在核心v1群组中的对象才能使用。

apis 它是一般API访问的入口固定格式名。

Service account是为了方便Pod里面的进程调用Kubernetes API或其他外部服务而设计的

创建serviceaccount  //此时k8s为用户自动生成认证信息，但没有授权

创建sa时会自动创建一个token token用来连接apiserver

 把serviceaccount和pod绑定起来：