Kubernetes ---集群安全机制

Kubernetes —集群安全机制

1、概述

在 k8s 中，所有资源的访问和变更都是围绕 APIServer 展开的。比如说 kubectl 命令、客户端 HTTP RESTFUL 请求，都是去 call APIServer 的 API 进行的。

上面这张图，描述了用户在访问或变更资源的之前，需要经过 APIServer 的认证机制、授权机制以及准入控制机制。

• Authentication：认证机制，是在用户访问 APIServer 的第一步。通常是一个完整的 HTTP 请求打过来，但是这一步往往只检测请求头或客户端证书。
• Authorization：授权机制，当用户通过认证后，授权机制将对用户的行为等进行授权检查。换句话说，就是对这个请求本身，是否对某资源、某 namespace、某操作有权限限制。
• Admission Controllers：准入控制，在一个请求通过了认证机制和授权认证后，需要经过最后一层筛查，即准入控制。这个准入控制模块的代码通常在 APIServer 中，并被编译到二进制文件中被执行。这一层安全检查的意义在于，检查该请求是否达到系统的门槛，即是否满足系统的默认设置，并添加默认参数。

这三个机制可