kubernetes API 访问控制在阿里云容器服务(ACK)上的实践

最新推荐文章于 2024-02-08 09:10:05 发布

阿里云技术

最新推荐文章于 2024-02-08 09:10:05 发布

阅读量903

点赞数

文章标签： kubernetes rbac ACK

本文链接：https://blog.csdn.net/weixin_43970890/article/details/90409021

版权

本文介绍了在阿里云容器服务ACK上实现Kubernetes API的访问控制，重点讨论了RBAC的使用。通过创建和管理角色、角色绑定，详细展示了如何为子账号授予不同级别的权限，并提供了验证和权限检查的方法，降低了使用门槛。

摘要由CSDN通过智能技术生成

提起K8s API的访问控制，很多同学应该都会想到RBAC，这是K8s用来做权限控制的方法，但是K8s对API的访问控制却不止于此，今天我们就来简单介绍下K8s的访问控制以及ACK如何利用这套方法提供便捷的访问控制管理

访问控制简要说明

访问控制
控制流程如上图所示，我们今天关注点在前两步，也就是图中的Authentication和Authorization

Authentication做的是身份校验，Authentication支持的方法包括X509 Client Certs、Password、Plain Tokens、Bootstrap Tokens 和 JWT Tokens，今天我们要实践的就是X509 Client Certs校验方式

API server启动时传入--client-ca-file=SOMEFILE即可启用证书校验，参数指定的文件中必须包含至少一个CA证书用于校验传入的客户端证书。
验证通过后，证书中的common name(CN)字段会作为请求的username，organization(O)字段作为请求的group

Authorization做的是授权鉴定，一个请求通过Authentication后，会带着一个user和group，Authorization做的就是判断请求的方法(verb)和对象(object)是否在user和group的权限范