k8s || RBAC

已于 2023-07-23 11:52:54 修改
阅读量205 收藏
点赞数
分类专栏： k8s 文章标签： kubernetes 容器 云原生
于 2023-04-09 15:22:40 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_60271706/article/details/130042668
版权

RBAC是什么？

Role-based access control (RBAC) is a method of regulating access to computer or network resources based on the roles of individual users within your organization.
基于角色的访问控制(RBAC)是一种基于组织中各个用户的角色来调节对计算机或网络资源的访问的方法。

鉴权: 鉴别权限 --》识别出某个主体（用户、组、服务账户）具有什么权限

用户 --》角色 --》权限--》资源对象
目的：防止k8s里的pod（会运行程序）能随意获取整个集群里的信息和访问集群里的资源

概念：

Rule：规则，一组属于不同 API Group 的操作集合；
Role：角色，用于定义一组对 Kubernetes API 对象操作的一组规则，范围限定在 namespace；
ClusterRole：集群角色，该角色不受 namespace 的限制；
Subject：对象，也就是规则作用的对象；
RoleBinding：将角色和对象进行绑定，范围限定在 namespace；
ClusterRoleBinding：将集群角色和对象进行绑定，不受 namespace 限制

Useraccount和ServiceAccount介绍

kubernetes中账户分为：UserAccounts（用户账户） 和 ServiceAccounts（服务账户） 两种：
UserAccount是给kubernetes集群外部用户使用的，如kubectl访问k8s集群要用useraccount用户， kubeadm安装的k8s，默认的useraccount用户是kubernetes-admin；
　　人--》k8s客户端(一般用:kubectl) ------>API Server

　　APIServer需要对客户端做认证，使用kubeadm安装的K8s，会在用户家目录下创建一个认证配置文件 .kube/config 这里面保存了客户端访问API Server的密钥相关信息，这样当用kubectl访问k8s时，它就会自动读取该配置文件，向API Server发起认证，然后完成操作请求。

ServiceAccount是Pod使用的账号，Pod容器的进程需要访问API Server时用的就是ServiceAccount账户；
ServiceAccount仅局限它所在的namespace，每个namespace创建时都会自动创建一个default service account；创建Pod时，如果没有指定Service Account，Pod则会使用default Service Account。

ServiceAccount使用案例介绍
1、创建sa，并绑定到pod

[root@k8smaster ~]# kubectl create sa sa-jack
serviceaccount/sa-jack created

[root@k8smaster ~]# kubectl get sa
NAME      SECRETS   AGE
default   1         11d
sa-jack   1         4s

2、创建pod

[root@k8smaster sa]# cat pod-sa.yaml 
apiVersion: v1
kind: Pod
metadata:
  name: sa-jack
  namespace: default
  labels:
    app: sa-jack
spec:
  serviceAccountName: sa-jack  #指定服务账号
  containers:
  - name:  sa-nginx
    ports:
    - containerPort: 80
    image: nginx
    imagePullPolicy: IfNotPresent

[root@k8smaster sa]# kubectl apply -f pod-sa.yaml 
pod/sa-jack created

[root@k8smaster sa]# kubectl get pod
NAME                               READY   STATUS    RESTARTS   AGE
sa-jack                            1/1     Running   0          3s

因为pod 会去访问k8s集群的apiserver，所以需要进入到pod里

[root@k8smaster sa]# kubectl exec -it sa-jack -- bash
root@sa-jack:/# cd /var/run/secrets/kubernetes.io/serviceaccount/
root@sa-jack:/var/run/secrets/kubernetes.io/serviceaccount# ls
ca.crt    namespace  token

执行下面的命令去访问我们的apiserver

root@sa-jack:/var/run/secrets/kubernetes.io/serviceaccount# curl --cacert ./ca.crt  -H "Authorization: Bearer $(cat ./token)"  https://kubernetes/api/v1/namespaces/kube-system
{
  "kind": "Status",
  "apiVersion": "v1",
  "metadata": {
    
  },
  "status": "Failure",
  "message": "namespaces \"kube-system\" is forbidden: User \"system:serviceaccount:default:sa-jack\" cannot get resource \"namespaces\" in API group \"\" in the namespace \"kube-system\"",
  "reason": "Forbidden",
  "details": {
    "name": "kube-system",
    "kind": "namespaces"
  },
  "code": 403
}root@sa-jack:/var/run/secrets/kubernetes.io/serviceaccount#

 3、对sa做授权

cluster-admin   这是一个权力非常大的clusterrole 集群角色
将default命名空间里的sa-jack服务账号绑定到集群角色 cluster-admin 上

[root@k8smaster sa]# kubectl create clusterrolebinding sa-jack-admin --clusterrole=cluster-admin  --serviceaccount=default:sa-jack
clusterrolebinding.rbac.authorization.k8s.io/sa-jack-admin created

4、再次请求，使用绑定好的集群角色

}root@sa-jack:/var/run/secrets/kubernetes.io/serviceaccount# curl --cacert ./ca.crt -H "Authorization: Bearer $(cat ./token)"  https://kubernetes/api/v1/namespaces/kube-system
{
  "kind": "Namespace",
  "apiVersion": "v1",
  "metadata": {
    "name": "kube-system",
    "uid": "9f79fef1-0445-478e-be47-705102ba8abf",
    "resourceVersion": "25",
    "creationTimestamp": "2023-03-23T09:59:09Z",
    "managedFields": [
      {
        "manager": "kube-apiserver",
        "operation": "Update",
        "apiVersion": "v1",
        "time": "2023-03-23T09:59:09Z",
        "fieldsType": "FieldsV1",
        "fieldsV1": {"f:status":{"f:phase":{}}}
      }
    ]
  },
  "spec": {
    "finalizers": [
      "kubernetes"
    ]
  },
  "status": {
    "phase": "Active"
  }
}root@sa-jack:/var/run/secrets/kubernetes.io/serviceaccount# 

查看有哪些服务账号进行了集群角色绑定

[root@k8smaster sa]# kubectl get clusterrolebinding
NAME                                                   ROLE                                                                               AGE
calico-kube-controllers                                ClusterRole/calico-kube-controllers                                                11d
calico-node                                            ClusterRole/calico-node                                                            11d
cluster-admin                                          ClusterRole/cluster-admin                                                          11d
ingress-nginx                                          ClusterRole/ingress-nginx                                                          6h15m
ingress-nginx-admission                                ClusterRole/ingress-nginx-admission                                                6h15m
kubeadm:get-nodes                                      ClusterRole/kubeadm:get-nodes                                                      11d
kubeadm:kubelet-bootstrap                              ClusterRole/system:node-bootstrapper                                               11d
kubeadm:node-autoapprove-bootstrap                     ClusterRole/system:certificates.k8s.io:certificatesigningrequests:nodeclient       11d
kubeadm:node-autoapprove-certificate-rotation          ClusterRole/system:certificates.k8s.io:certificatesigningrequests:selfnodeclient   11d
kubeadm:node-proxier                                   ClusterRole/system:node-proxier                                                    11d
metrics-server:system:auth-delegator                   ClusterRole/system:auth-delegator                                                  8d
sa-jack-admin                                          ClusterRole/cluster-admin                                                          53m
sa-jack1-admin                                         ClusterRole/secret-reader                                                          20m

[root@k8smaster sa]# kubectl api-resources
NAME                              SHORTNAMES   APIVERSION                             NAMESPACED   KIND
bindings                                       v1                                     true         Binding
componentstatuses                 cs           v1                                     false        ComponentStatus
configmaps                        cm           v1                                     true         ConfigMap
endpoints                         ep           v1                                     true         Endpoints
events                            ev           v1                                     true         Event
limitranges                       limits       v1                                     true         LimitRange

cluster-admin   这是一个权力非常大的clusterrole 集群角色
这个角色是k8s系统内部就有的，这是一个内置的集群角色

[root@k8smaster sa]# kubectl get clusterroles
NAME                                                                   CREATED AT
admin                                                                  2023-03-23T09:59:09Z
calico-kube-controllers                                                2023-03-23T10:02:31Z
calico-node                                                            2023-03-23T10:02:31Z
cluster-admin                                                          2023-03-23T09:59:09Z
edit                                                                   2023-03-23T09:59:09Z
ingress-nginx                                                          2023-04-04T02:59:27Z
ingress-nginx-admission                                                2023-04-04T02:59:28Z
kubeadm:get-nodes                                                      2023-03-23T09:59:11Z
secret-reader                                                          2023-04-04T08:50:36Z

[root@k8smaster sa]# kubectl describe clusterroles cluster-admin
Name:         cluster-admin
Labels:       kubernetes.io/bootstrapping=rbac-defaults
Annotations:  rbac.authorization.kubernetes.io/autoupdate: true
PolicyRule:
  Resources  Non-Resource URLs  Resource Names  Verbs
  ---------  -----------------  --------------  -----
  *.*        []                 []              [*]
             [*]                []              [*]

Resources  代表这个角色可以访问的资源  *.* 代表任意命名空间里的任意资源
Verbs ： 可以采取的动作 ：  get  list  watch

自己创建一个role

[root@k8smaster sa]# cat role.yaml 
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: pod-reader
rules:
- apiGroups: [""] # "" 标明 core API 组
  resources: ["pods"] 
  verbs: ["get", "watch", "list"]

[root@k8smaster sa]# kubectl apply -f role.yaml 
role.rbac.authorization.k8s.io/pod-reader created

[root@k8smaster sa]# kubectl get role
NAME         CREATED AT
pod-reader   2023-04-04T08:44:34Z

sa绑定role

[root@k8smaster sa]# kubectl create rolebinding sa-jack-admin --role=pod-reader  --serviceaccount=default:sa-jack
rolebinding.rbac.authorization.k8s.io/sa-jack-admin created

查看已经绑定的rolebinding

[root@k8smaster sa]# kubectl get rolebinding
NAME            ROLE              AGE
sa-jack-admin   Role/pod-reader   4m30s

创建一个clusterrole

[root@k8smaster sa]# cat clusterrole.yaml 
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  # "namespace" 被忽略，因为 ClusterRoles 不受名字空间限制
  name: secret-reader
rules:
- apiGroups: [""]
  # 在 HTTP 层面，用来访问 Secret 资源的名称为 "secrets"
  resources: ["secrets"]
  verbs: ["get", "watch", "list"]
[root@k8smaster sa]# kubectl apply -f clusterrole.yaml 
clusterrole.rbac.authorization.k8s.io/secret-reader created

[root@k8smaster sa]# kubectl get clusterrole
NAME                                                                   CREATED AT
secret-reader                                                          2023-04-04T08:50:36Z

将sa-jack1-admin 绑定到secret-reader 的集群角色上

[root@k8smaster sa]# kubectl create clusterrolebinding sa-jack1-admin --clusterrole=secret-reader  --serviceaccount=default:sa-jack
clusterrolebinding.rbac.authorization.k8s.io/sa-jack1-admin created

[root@k8smaster sa]# kubectl get clusterrolebinding
NAME                                                   ROLE                                                                               AGE
sa-jack-admin                                          ClusterRole/cluster-admin                                                          61m
sa-jack1-admin                                         ClusterRole/secret-reader                                                          28m

验证：
    启动就是进入sa-jack启动的pod，去访问apiserver里的pod资源和secret资源
​​​​​​​

[root@k8smaster sa]# kubectl get pod
NAME                               READY   STATUS    RESTARTS   AGE
sa-jack                            1/1     Running   0          68m

[root@k8smaster sa]# kubectl exec -it sa-jack  -- bash
root@sa-jack:~# cd /var/run/secrets/kubernetes.io/serviceaccount/
root@sa-jack:/var/run/secrets/kubernetes.io/serviceaccount# 

root@sa-jack:/var/run/secrets/kubernetes.io/serviceaccount# curl --cacert ./ca.crt  -H "Auhorization: Bearer $(cat ./token)"  https://kubernetes/api/v1/pods

root@sa-jack:/var/run/secrets/kubernetes.io/serviceaccount# curl --cacert ./ca.crt  -H "Authorization: Bearer $(cat .token)"  https://kubernetes/api/v1/secrets

韩未零
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
在k8s中部署prometheus的镜像
03-23
apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: prometheus rules: - apiGroups: [""] resources: ["services", "pods", "endpoints", "nodes"] verbs: ["get", "list", "watch"]...
k8s-utils
02-13
5. **安全与权限**：在安全方面，k8s-utils可能会包含工具来检查和审计集群的安全配置，确保遵循最佳实践，如RBAC（Role-Based Access Control）策略的验证。 6. **版本控制与部署**：k8s-utils可能还提供与Git集成...
RBAC——基于角色权限的模型
热门推荐
林隐的博客
10-21 2万+
学习RBAC——基于角色权限的模型
RBAC权限详解
xm1037782843的博客
07-30 8573
RBAC权限详解
RBAC 模型梳理
最新发布
cliffordl的专栏
06-07 1278
权限是资源的集合，这里的资源指的是软件中所有的内容，包括模块、菜单、页面、字段、操作功能（增删改查）等等。页面权限操作权限和数据权限。
RBAC权限管理
haoa0320的博客
02-24 1万+
RBAC权限管理
Kubernetes（k8s）权限管理RBAC详解
匠人精神，持之以恒！
10-16 8143
文章目录一、简介二、K8s三种认证方式三、用户分类四、K8s权限控制（以ServiceAccount展开讲解）1）介绍2）Role和ClusterRole3）RoleBinding和ClusterRoleBinding1、Role角色绑定ServiceAccount2、ClusterRole角色绑定ServiceAccount五、实战1）User1、创建K8S 用户2、对用户授权2）Group1、创建K8S 用户和用户组2、对组授权3）ServiceAccount4）为ServiceAccount生成Tok
RBAC详解
天青色 等烟雨的博客
07-19 2491
RPAC模型是一种基于角色的访问控制模型，它将用户分配到不同的角色中，每个角色都有一组权限。用户通过被分配到的角色来获得访问系统资源的权限。在本文中，我们详细讨论了RPAC模型的工作原理，并使用一个数据库示例来说明如何实现RPAC模型。我们还提供了相关的代码示例，帮助读者更好地理解RPAC模型的实现。
k8s-1.14.1源码
11-22
Kubernetes，简称K8s，是Google开源的容器集群管理系统，旨在自动化容器的部署、扩展以及管理。源码分析对于理解其工作原理和技术架构至关重要。在Kubernetes 1.14.1版本中，我们能够深入探究这个强大的系统是如何...
calico flannel k8s 安装yaml文件
03-05
在Kubernetes（k8s）集群中，网络插件起着至关重要的作用，它们负责为Pod之间提供网络通信。在本话题中，我们将探讨两个流行的网络插件：Calico和Flannel，以及如何通过YAML文件来安装它们。YAML是Kubernetes的主要...
个人学习k8s相关资料
06-01
Kubernetes（简称K8s）是Google开源的一种容器编排系统，用于自动化容器化的应用程序部署、扩展和管理。这个“个人学习k8s相关资料”压缩包很可能是包含了一系列的学习资源，帮助你深入理解和掌握Kubernetes的核心...
RBAC权限管理，Shiro实践
qq_41617901的博客
06-11 2824
在RBAC中，每个角色都被授予一组权限，而用户则被分配到一个或多个角色。用户可以访问与他们相关的角色所授予的权限。这种机制使得管理和授权变得更加容易，因为只需要将用户分配到角色，而不需要为每个用户单独指定其访问权限。RBAC通过将用户分配到不同的角色，来控制用户对系统中资源的访问权限。RBAC还可以减少错误和安全漏洞的可能性，因为访问控制是由系统管理员预先配置好的，并且与用户的身份无关。此外，RBAC还支持审计和监控，以便对用户的访问行为进行跟踪和检查。
RBAC概念
Aan___的博客
01-03 1863
RBAC（基于角色的权限控制）模型的核心是在用户和权限之间引入了角色的概念。取消了用户和权限的直接关联，改为通过用户关联角色、角色关联权限的方法来间接地赋予用户权限(如下图)，从而达到用户和权限解耦的目的。
什么是 RBAC 权限控制
mc_ChenF_B的博客
06-23 1234
RBAC是Role Based Access Control的英文缩写，意思是RBAC实际上就是针对产品去挖掘需求时所用到的Who（角色）、What（拥有什么资源）、How（有哪些操作）的方式。在RBAC模型中，who、what、how构成了三元组，也就是“Who对What进行How的操作。RBAC的优缺点。
k8s - 安全认证（RBAC）
栋院
03-18 2965
api server 是集群访问控制的统一入口 k8s认证过程： 认证 -> 授权 - > 准入控制 （adminationcontroller） 1 认证（）是对客户端的认证，简单说就是账户密码 2 授权（）是资源的授权，容器、网络、存储资源的权限 3 准入机制 准入控制器位于api server ,在对象被持久化之前，准入控制器拦截对api server 的请求，一般用来做认证和授权。其中包括连个控制器： MutatingAdmissionWebhook 和 Validating
k8s rbac
SHELLCODE_8BIT的博客
03-10 1308
简单就如下所示，给谁分配什么权限，这是大家经常在后台管理系统遇到的。
RBAC简介（*）
weixin_42408447的博客
11-05 7807
一.RBAC是什么 1.RBAC模型概述 RBAC是Role Based Access Control的英文缩写，意思是基于角色访问控制。 RBAC实际上就是针对产品去发掘需求时所用到的Who（角色）、What（拥有什么资源）、How（有哪些操作）的方式。 在RBAC模型中，who、what、how构成了访问权限三元组，也就是“Who对What进行How的操作。 RBAC主要包含四个子模型：RBAC0、RBAC1、RBAC2和RBAC3，整体又叫做RBAC96。 RBAC0 RBAC0是RBAC96模型家
K8s RBAC认证授权深度解析
博客虽小，世界尽在其中
04-20 2064
随着Kubernetes在云原生领域的广泛应用，如何有效地管理和控制用户对集群资源的访问权限成为了一个重要的问题。基于角色的访问控制（RBAC）作为一种灵活的权限管理机制，在Kubernetes中发挥着至关重要的作用。本文深入探讨了Kubernetes RBAC认证授权的核心概念、实现方式以及实践应用，旨在帮助读者更好地理解和管理Kubernetes集群中的权限问题。
k8s里RBAC是什么意思
07-17
RBAC是Kubernetes中的一种访问控制机制，全为Role-Based Access Control，即基于角色的访问控制。RBAC用于定义和管理用户、ServiceAccount或其他身份对Kubernetes资源的问权限。 RBAC允许管理员根用户的职责和角色...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

韩未零

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值