【云原生】UserAccount使用账户详解

User Account

介绍

• Kubernetes用户账号可以直接在终端使用，用来读写有权限的资源或者非资源数据，而Service Account一般是用来绑定程序调用的。

一、创建用户

• 创建Kubernetes的wzh账号。

# 进去 Kubernetes 的公钥设施文件夹
[root@master ~]# cd /etc/kubernetes/pki/


# 生成 wzh  认证证书
openssl genrsa -out wzh.key 2048
openssl req -new -key wzh.key -out wzh.csr -subj "/CN=wzh"
openssl x509 -req -in wzh.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out wzh.crt -days 3650


# 将 wzh 账户加入Kubernetes
kubectl config set-credentials wzh --client-certificate=./wzh.crt --client-key=./wzh.key --embed-certs=true 
kubectl config set-context wzh@kubernetes --cluster=kubernetes --user=wzh

# 查看 Kubernetes Config
[root@master pki]# kubectl config view 
apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: DATA+OMITTED
    server: https://192.168.93.145:6443
  name: kubernetes
contexts:
- context:
    cluster: kubernetes
    user: kubernetes-admin
  name: kubernetes-admin@kubernetes
####################################################
- context:
    cluster: kubernetes
    user: wzh
  name: wzh@kubernetes
current-context: kubernetes-admin@kubernetes
kind: Config
preferences: {}
users:
- name: kubernetes-admin
  user:
    client-certificate-data: REDACTED
    client-key-data: REDACTED
- name: wzh
  user:
    client-certificate-data: REDACTED
    client-key-data: REDACTED
####################################################

# 使用 wzh 账号上下文（切换集群账号）
[root@master pki]# kubectl config use-context wzh@kubernetes


# 可以发现我们没有任何权限
[root@master pki]# kubectl get pod
Error from server (Forbidden): pods is forbidden: User "wzh" cannot list resource "pods" in API group "" in the namespace "default"

二、使用系统用户玩转K8S

• 创建 Linux 系统用户 wzh01，并将Kubernetes中wzh配置到其账户家目录下。

# 创建 wzh 系统用户
useradd -m wzh01
passwd wzh01


# 拷贝 Kubernetes Config 文件进入 /home/wzh下面
# 拷贝之后可以删除 Kubernetes-admin的权限上下文信息，不然 wzh 账户可以用此账号访问K8S
cp -ar /root/.kube /home/wzh01
chown -R wzh01:wzh01 /home/wzh01/.kube/

• 使用 wzh 系统用户访问default名称空间的Pod

# 是可以操作 K8S 集群的，只是没有权限
[root@master ~]# su - wzh
[wzh@master ~]$ kubectl get pod 
error: error loading config file "/home/wzh/.kube/config": open /home/wzh/.kube/config: permission denied