K8S -- kubernetes集群权限之Cluster、 User和Context

		使用k8s的小伙伴，对k8s用户权限管理可能有很多困惑，如何建立外部用户，并赋予k8s的访问权限，对很多开发者来说，是非常困惑的。
	下面，本人以jerry用户的创建为例，为linux系统中的k8s-jerry用户配置k8s集群管理权限。
	注意： 此处配置的k8s-jerry用户为linux系统用户； 而jerry用户为k8s集群中对应的用户。

一、生成user用户证书

（1）生成私钥

(umask 077; openssl genrsa -out jerry.key 2048)

（2）生成证书请求

openssl req -new -key jerry.key -out jerry.csr -subj "/CN=jerry"

如果定义组，则组可以作为权限分配的主体,比如：
openssl req -new -key jerry.key -out jerry.csr -subj "/CN=jerry/O=jerry-admin”

角色授权绑定文件可以定义如下：
subjects:

• apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: jerry-admin

（3）生成证书,并用服务端CA签署

  openssl x509 -req  -in jerry.csr -CA /etc/kubernetes/pki/ca.crt  -CAkey /etc/kubernetes/pki/ca.key  -CAcreateserial -out jerry.crt -days 365

（4）查看证书

  openssl x509 -in jerry.crt -text  -noout

二、建立集群、用户和上下文

  export KUBE_APISERVER="https://172.16.1.101:6443"

（1）产生集群配置文件

 kubectl config set-cluster kubernetes --certificate-authority=/etc/kubernetes/pki/ca.crt --embed-certs=true --server=${KUBE_APISERVER} --kubeconfig=kube-config

注意：
使用ca.crt证书，作为集群授权证书
当前目录下生成kube-config配置文件

（2）生成集群用户

kubectl config set-credentials jerry --client-certificate=/root/kube-cluster/pki/jerry.crt --embed-certs=true --client-key=/root/kube-cluster/pki/jerry.key --kubeconfig=kube-config

注意：
1. 在kube-config集群配置文件中查看user 名为 jerry
2. 采用客户端证书和私钥

（3）建立基于集群和新用户的上下文

  kubectl config set-context jerry@kubernetes --cluster=kubernetes --user=jerry --kubeconfig=kube-config

注意： 上下文名称为 jerry@kubernetes
集群名称为kubernetes
用户名称为jerry

（4）使用新建设的集群上下文

   kubectl config use-context jerry@kubernetes --kubeconfig=kube-config

三、给jerry用户授予权限

（1）建立角色

  kubectl create role pods-reader  --verb=get,list,watch --resource=pods --dry-run -oyaml > role-demo.yaml

文件内容如下：
[root@master kube-cluster]# more role-demo.yaml

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  creationTimestamp: null
  name: pods-reader
rules:
- apiGroups:
  - ""
  resources:
  - pods
  verbs:
  - get
  - list
  - watch

（2）将角色绑定到用户jerry

kubectl create rolebinding jerry-read-pods --role=pods-reader --user=jerry --dry-run -oyaml > jerry-read-pods.yaml

文件内容如下：
[root@master kube-cluster]# more jerry-read-pods.yaml

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  creationTimestamp: null
  name: jerry-read-pods
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: pods-reader
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: jerry

（3）使用用户jerry测试

**<1>切换上下文**

  kubectl config use-context jerry@kubernetes --kubeconfig=kubeconf/kube-config

**<2>查看pods（有权）**

[root@master kube-cluster]# kubectl get pods --kubeconfig=kubeconf/kube-config
NAME                                      READY   STATUS             RESTARTS   AGE
nfs-client-provisioner-5584cd9578-fqbjg   1/1     Running            0          15h
test-pod                                  0/1     CrashLoopBackOff   176        15h
web-0                                     1/1     Running            0          13h
web-1                                     1/1     Running            0          13h

<3>查看deployment（无权限）

  kubectl get deployment --kubeconfig=kubeconf/kube-config

Error from server (Forbidden): deployments.apps is forbidden: User “jerry” cannot list resource “deployments” in API group “apps” in the namespace “default”

四、将linux系统用户k8s-jerry与k8s集群用户jerry相关联（不在需要kubeconfig文件了）

（1）建立系统用于k8s-jerry

  useradd k8s-jerry
  chown -R k8s-jerry.k8s-jerry /home/k8s-jerry

（2）将集群配置文件copy到系统用户k8s-jerry的默认目录下

[root@master kube-cluster]# ls
cluster-pods-reader.yaml  jerry-read-pods.yaml  kubeconf  pki  role-demo.yaml

[root@master kube-cluster]# cp kubeconf/kube-config /home/k8s-jerry/.kube/config

（3）切换成k8s-jerry用户，就可以访问k8s集群中jerry用户的有权访问的资源

[root@master kube-cluster]# su k8s-jerry

[k8s-jerry@master kube-cluster]$ kubectl get pods
NAME                                      READY   STATUS             RESTARTS   AGE
nfs-client-provisioner-5584cd9578-fqbjg   1/1     Running            0          15h
test-pod                                  0/1     CrashLoopBackOff   180        15h
web-0                                     1/1     Running            0          14h
web-1                                     1/1     Running            0          14h