kubernetes Authenticating(认证)

最新推荐文章于 2024-08-13 19:27:56 发布

qinzhao168

最新推荐文章于 2024-08-13 19:27:56 发布

阅读量724

点赞数

分类专栏： kubetnetes 文章标签： kubernetes auth

本文链接：https://blog.csdn.net/qq_21816375/article/details/80026430

版权

kubetnetes 专栏收录该内容

106 篇文章 8 订阅

订阅专栏

kubernetes 用户体系

所有Kubernetes集群都有两类用户：由Kubernetes管理的服务帐户和普通用户。

普通用户由外部独立服务管理。管理员分发私钥，用户存储如Keystone或者用户名和密码列表的文件。普通用户不能通过API调用添加到群集中。

相反，服务帐户是由Kubernetes API管理的用户。它们绑定到特定的名称空间，并由API服务器自动创建或通过API调用手动创建。服务帐户绑定到一系列存储为秘密的凭证，这些凭证安装在容器中，允许群集内进程与Kubernetes API对话。

kubernetes 认证策略

Kubernetes使用客户端证书，bearer tokens，身份验证代理或HTTP基本身份验证来通过身份验证插件对API请求进行身份验证。由于向API服务器发出HTTP请求，插件会尝试将以下属性与请求关联：

用户名：标识最终用户的字符串。常用值可能是kube-admin或jane@example.com。
UID：标识最终用户并尝试比用户名更一致和唯一的字符串。
组：一组将用户与一组常用用户关联的字符串。
额外字段：包含附加信息的字符串列表的字符串映射授权人可能会觉得有用。

X509 Client Certs
客户端证书身份验证通过将--client-ca-file = SOMEFILE选项传递给API服务器来启用。引用的文件必须包含一个或多个证书颁发机构，用于验证呈现给API服务器的客户端证书。如果提供并验证客户端证书，则使用主题的公用名称作为请求的用户名。从Kubernetes 1.4开始，客户端证书还可以使用证书的组织字段来指示用户的组成员身份。要为用户包含多个组成员身份，请在证书中包含多个组织字段。
例如

openssl req -new -key jbeda.pem -out jbeda-csr.pem -subj "/CN=jbeda/O=app1/O=app2"
//该命令行生成了jbeda-csr.pem证书,该证书是给用户jbeda进行颁发证书，该用户属于两个组织app1和app2

Static Token File

当在命令行上提供--token-auth-file = SOMEFILE选项时，API服务器从文件读取承载令牌。目前，令牌持续无限期，并且无需重新启动API服务器即可更改令牌列表。

令牌文件是一个至少包含3列的csv文件：令牌，用户名，用户uid，后跟可选组名。请注意，如果您有多个组，则该列必须使用双引号，例如

token,user,uid,"group1,group2,group3"

该认证策略只要是放在HTTP的HEADERS里
例如

Authorization: Bearer 31ada4fd-adec-460c-809a-9e56ceb75269

Bootstrap Tokens
为了允许为新集群提供简化的引导，Kubernetes包括一个名为Bootstrap Token的动态管理的Bearer标记类型。这些令牌作为秘密存储在kube-system命名空间中，在那里可以动态管理和创建它们。控制器管理器包含一个TokenCleaner控制器，可在引导令牌过期时删除引导令牌。
该类令牌必须符合正则表达式[a-z0-9]{6}.[a-z0-9]{16}，并且由两个部分组成
token ID 和token secret,这种方式也是放在HEADERS里，例如

Authorization: Bearer 781292.db7bc3a58fc5f07e

使用必要条件

在api-server启动参数加--experimental-bootstrap-token-auth
在Controller Manager 启动参数添加--controllers=*,tokencleaner

Static Password File
该认证策略启用的方式--basic-auth-file=SOMEFILE，一旦启用密码就不能修改
是cvs文件，组成：password, user name, user id

password,user,uid,"group1,group2,group3"

使用

Authorization:Basic BASE64ENCODED(USER:PASSWORD)

Service Account Tokens

服务帐户是使用签名的承载令牌来验证请求的自动启用的验证器。该插件需要两个可选标志：

--service-account-key-file包含用于签署持票人令牌的PEM编码密钥的文件。如果未指定，则将使用API服务器的TLS私钥。
--service-account-lookup如果启用，将从API中删除的令牌将被撤销。

服务帐户通常由API服务器自动创建，并通过ServiceAccount准入控制器与集群中运行的Pod相关联。承载令牌被安装到众所周知的位置，并允许群集内进程与API服务器通信。帐户可以使用PodSpec的serviceAccountName字段与Pod进行显式关联。

apiVersion: apps/v1 # this apiVersion is relevant as of Kubernetes 1.9
kind: Deployment
metadata:
  name: nginx-deployment
  namespace: default
spec:
  replicas: 3
  template:
    metadata:
    # ...
    spec:
      serviceAccountName: bob-the-bot
      containers:
      - name: nginx
        image: nginx:1.7.9

可以通过kubectl create serviceaccount (NAME)创建serviceaccount

服务帐户使用用户名系统进行身份验证：serviceaccount：（NAMESPACE）:( SERVICEACCOUNT），并分配给组系统：serviceaccounts和system：serviceaccounts：（NAMESPACE）。

end 还要更多内容，请前往Authenticating
参考
Authenticating