k8s认证和授权

最新推荐文章于 2024-10-10 20:42:23 发布

向阳的野草

最新推荐文章于 2024-10-10 20:42:23 发布

阅读量1.7k

点赞数

文章标签： linux 运维

本文链接：https://blog.csdn.net/qq_41009846/article/details/120043633

版权

本文介绍了Kubernetes的认证和授权流程，包括身份认证、鉴权、准入控制、RBAC（Role-Based Access Control）以及kubectl认证。详细讲解了cluster-role、rolebinding、clusterRolebinding在RBAC中的应用，并探讨了kubelet的认证方式和服务账号用于API调用的实践。

摘要由CSDN通过智能技术生成

流程

在这里插入图片描述

Authentication:身份认证

在这里插入图片描述

[root@k8s-master1 ~]# ps aux  | grep apiserver
root       2244  5.4 13.8 1239192 399628 ?      Ssl  07:33   1:45 kube-apiserver --advertise-address=192.168.10.63 --allow-privileged=true --authorization-mode=Node,RBAC --client-ca-file=/etc/kubernetes/pki/ca.crt --enable-admission-plugins=NodeRestriction --enable-bootstrap-token-auth=true --etcd-cafile=/etc/kubernetes/pki/etcd/ca.crt --etcd-certfile=/etc/kubernetes/pki/apiserver-etcd-client.crt --etcd-keyfile=/etc/kubernetes/pki/apiserver-etcd-client.key --etcd-servers=https://127.0.0.1:2379 --insecure-port=0 --kubelet-client-certificate=/etc/kubernetes/pki/apiserver-kubelet-client.crt --kubelet-client-key=/etc/kubernetes/pki/apiserver-kubelet-client.key --kubelet-preferred-address-types=InternalIP,ExternalIP,Hostname --proxy-client-cert-file=/etc/kubernetes/pki/front-proxy-client.crt --proxy-client-key-file=/etc/kubernetes/pki/front-proxy-client.key --requestheader-allowed-names=front-proxy-client --requestheader-client-ca-file=/etc/kubernetes/pki/front-proxy-ca.crt --requestheader-extra-headers-prefix=X-Remote-Extra- --requestheader-group-headers=X-Remote-Group --requestheader-username-headers=X-Remote-User --secure-port=6443 --service-account-issuer=https://kubernetes.default.svc.cluster.local --service-account-key-file=/etc/kubernetes/pki/sa.pub --service-account-signing-key-file=/etc/kubernetes/pki/sa.key --service-cluster-ip-range=10.96.0.0/16 --tls-cert-file=/etc/kubernetes/pki/apiserver.crt --tls-private-key-file=/etc/kubernetes/pki/apiserver.key
root      23280  0.0  0.0 112812   964 pts/0    S+   08:05   0:00 grep --color=auto apiserver

可以看到是有这些参数的

Authorization 鉴权

用户可以访问哪些资源，查看用户的身份有没有对应动作的权限
- 查看本机授权进程

[root@k8s-master1 containers]# ps aux | grep authorization-mode
root       2225  4.9 13.4 1242072 390388 ?      Ssl  Aug31  40:59 kube-apiserver --advertise-address=192.168.10.63 --allow-privileged=true --authorization-mode=Node,RBAC --client-ca-file=/etc/kubernetes/pki/ca.crt --enable-admission-plugins=NodeRestriction --enable-bootstrap-token-auth=true --etcd-cafile=/etc/kubernetes/pki/etcd/ca.crt --etcd-certfile=/etc/kubernetes/pki/apiserver-etcd-client.crt --etcd-keyfile=/etc/kubernetes/pki/apiserver-etcd-client.key --etcd-servers=https://127.0.0.1:2379 --insecure-port=0 --kubelet-client-certificate=/etc/kubernetes/pki/apiserver-kubelet-client.crt --kubelet-client-key=/etc/kubernetes/pki/apiserver-kubelet-client.key --kubelet-preferred-address-types=InternalIP,ExternalIP,Hostname --proxy-client-cert-file=/etc/kubernetes/pki/front-proxy-client.crt --proxy-client-key