board crt_容器编排系统K8s之Dashboard部署

前文我们了解了k8s的访问控制第三关准入控制相关插件的使用，回顾请参考：https://www.cnblogs.com/qiuhom-1874/p/14220402.html；今天我们来了解下k8s的web ui 组件的安装和用户授权相关话题；

k8s的webui是一个插件运行在k8s之上，以pod的方式提供服务；它能够给使用k8s用户提供一个web面板，我们可以基于这个web面板来管理k8s集群；比如创建pod，创建svc，部署应用等等；在部署之前，先说一下dashboard认证过程；dashboard是以pod的形式运行在k8s之上，它本身没有做访问权限认证相关的功能，它只是把用户的认证信息代理到k8s集群上，具体的认证授权还是由k8s的apiserver进行；所以我们登录dashboard必须是k8s上的用户；其次它是一个pod形式把我们的认证信息代理到apiserver上，所以我们登录dashboard的用户必须是一个sa用户，它不支持常规用户；简单讲dashboard就是一个代理服务；它把我们所有操作通过https协议代理到apiserver做相应的操作；dashboard是一个多用户的插件，它支持同时多个用户以不同身份登录到dashboard上做操作；对于dashboard本身来讲，它就是k8s上的一个web服务以pod形式运行，我们可以通过ingrss把它发布出来，也可以通过service把它发布出来；选择其中一种方式即可；

dashboard部署前准备

dashboard对外提供服务的是一个https服务，如果我们需要将其发布到集群外部供互联网访问，我们需要把对应域名的证书先用secret资源加载到k8s上，然后在部署dashboard时，引用对应的secret即可；

生成私钥，证书签署请求文件csr，然后发送给对应CA签署(如果对应域名的证书都申请好了，这一步直接跳过)

[root@master01 ~]# mkdir dashboard

[root@master01 ~]# cd dashboard

[root@master01 dashboard]# openssl genrsa -out dashboard.key 2048

Generating RSA private key, 2048 bit long modulus

................................................................................................+++

..................+++

e is 65537 (0x10001)

[root@master01 dashboard]# openssl req -new -key dashboard.key -out dashboard.csr -subj "/O=test/CN=webui.test.com"

[root@master01 dashboard]# ll

total 8

-rw-r--r-- 1 root root 920 Jan 2 14:00 dashboard.csr

-rw-r--r-- 1 root root 1679 Jan 2 13:59 dashboard.key

[root@master01 dashboard]#

使用某个ca签署对应的证书签署请求文件，我这里直接使用k8s上的CA签

[root@master01 dashboard]# openssl x509 -req -in dashboard.csr -CA /etc/kubernetes/pki/ca.crt -CAkey /etc/kubernetes/pki/ca.key -CAcreateserial -out dashboard.crt -days 3650

Signature ok

subject=/O=test/CN=webui.test.com

Getting CA Private Key

[root@master01 dashboard]# ll

total 12

-rw-r--r-- 1 root root 1005 Jan 2 14:04 dashboard.crt

-rw-r--r-- 1 root root 920 Jan 2 14:00 dashboard.csr

-rw-r--r-- 1 root root 1679 Jan 2 13:59 dashboard.key

[root@master01 dashboard]#

提示：正常情况是找互联网上的ca签署，该证书只是用于使用对应域名在浏览器上能够通过https访问到dashboard；

下载部署清单，查看对应对应清单中的名称空间和对应secret的名称

[root@master01 dashboard]# wget https://raw.githubusercontent.com/kubernetes/dashboard/v2.1.0/aio/deploy/recommended.yaml

--2021-01-02 14:14:48-- https://raw.githubusercontent.com/kubernetes/dashboard/v2.1.0/aio/deploy/recommended.yaml

Resolving raw.githubusercontent.com (raw.githubusercontent.com)... 199.232.28.133

Connecting to raw.githubusercontent.com (raw.githubusercontent.com)|199.232.28.133|:443... connected.

HTTP request sent, awaiting response... 200 OK

Length: 7552 (7.4K) [text/plain]

Saving to: ‘recommended.yaml’

100%[===============================