Kubernetes CKS 2021【3】---Cluster Setup - Dashboard

已于 2022-09-02 11:19:39 修改
阅读量989 收藏
点赞数
分类专栏： kubernetes 文章标签： kubernetes docker 云原生 容器
于 2021-04-20 17:02:03 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xixihahalelehehe/article/details/115913408
版权

Kubernetes 访问 Dashboard

tags: Dashboard

文章目录

在这里插入图片描述

1. 简介

Dashboard 是基于网页的 Kubernetes 用户界面。 你可以使用 Dashboard 将容器应用部署到 Kubernetes 集群中，也可以对容器应用排错，还能管理集群资源。 你可以使用 Dashboard 获取运行在集群中的应用的概览信息，也可以创建或者修改 Kubernetes 资源 （如 Deployment，Job，DaemonSet 等等）。 例如，你可以对 Deployment 实现弹性伸缩、发起滚动升级、重启 Pod 或者使用向导创建新的应用。

在这里插入图片描述

2. 默认 dashboard 权限

  • get,update以及命名空间中的delete Secrets的权限。kubernetes-dashboard-key-holder、kubernetes-dashboard-certs、kubernetes-dashboard-csrf、kubernetes-dashboard
  • get和命名空间中命名update的配置映射的权限。kubernetes-dashboard-settings、kubernetes-dashboard
  • get 权限services/proxy，以便允许收集指标所需的命名空间中的heapster服务dashboard-metrics-scraper。kubernetes-dashboard
  • get，list以及API 的watch权限，metrics.k8s.io以便允许从metrics-server访问dashboard-metrics-scraper.

3. 验证

Kubernetes Dashboard 支持几种不同的用户身份验证方式：

  • 授权标头（Authorization header ）在每个请求中传递给仪表板。从 1.6 版开始支持。具有最高优先级。如果存在，将跳过登录视图。
  • 可在仪表板登录视图上使用的不记名令牌。
  • 可在仪表板登录视图中使用的用户名/密码。
  • 可用于 Dashboard登录视图的Kubeconfig文件。

3.1 登录视图

如果您使用的是推荐的最新安装，则默认情况下将启用登录功能。--tls-cert-file在任何其他情况下，如果您更喜欢手动配置证书，则需要将--tls-cert-key标志传递给 Dashboard。HTTPS 端点将暴露在Dashboard 容器的端口上8443。您可以通过提供--port标志来更改它。
使用Skip选项将使 Dashboard 使用 Dashboard 使用的 Service Account 的权限。Skip自 1.10.1 起，按钮默认禁用。使用–enable-skip-login仪表板标志来显示它。
在这里插入图片描述

3.2 Authorization header

通过 HTTP 访问 Dashboard 时，使用授权标头是使 Dashboard 充当用户的唯一方法。请注意，由于普通 HTTP 流量容易受到MITM 攻击，因此存在一些风险。

要使 Dashboard 使用授权标头，您只需将Authorization: Bearer <token>每个请求传递给 Dashboard。这可以通过在仪表板前面配置反向代理来实现。代理将负责与身份提供者进行身份验证，并将请求标头中生成的令牌传递给仪表板。请注意，Kubernetes API 服务器需要正确配置才能接受这些令牌。

要快速测试它，请查看允许手动修改请求标头的Requestly Chrome 浏览器插件。

重要提示：如果通过 API 服务器代理访问 Dashboard，授权标头将不起作用。访问仪表板指南中描述的访问仪表kubectl proxy板和访问仪表板的方式都将不起作用。这是因为一旦请求到达 API 服务器，所有额外的标头都会被丢弃。

3.3 Bearer Token

建议先熟悉Kubernetes认证文档，了解如何获取token，可以用来登录。例如，每个服务帐户都有一个带有有效承载令牌的秘密，可用于登录仪表板。

如何创建服务帐户并授予其权限：

3.4 默认

默认情况下禁用基本身份验证。原因是 Kubernetes API 服务器需要配置授权模式 ABAC 和--basic-auth-file提供的标志。如果没有该 API 服务器会自动回退到匿名用户，并且无法检查提供的凭据是否有效。

为了在仪表板--authentication-mode=basic标志中启用基本身份验证，必须提供。默认情况下，它设置为–authentication-mode=token。

注意：基本身份验证--basic-auth-file自 Kubernetes v1.19起已被弃用。对于要–basic-auth-file标记的类似功能，请--token-auth-file 与Static Token File一起使用。

3.5 Kubeconfig

提供这种登录方法是为了方便。 kubeconfig 文件中仅支持 flag 指定--authentication-mode的身份验证选项。如果它被配置为使用任何其他方式，错误将显示在仪表板中。目前不支持外部身份提供者或基于证书的身份验证。
在这里插入图片描述

4. 管理员权限

您可以通过在下面创建来授予 Dashboard 的服务帐户完整的管理员权限ClusterRoleBinding。根据选择的安装方法复制 YAML 文件并另存为，即dashboard-admin.yaml. 用于kubectl create -f dashboard-admin.yaml部署它。之后，您可以使用Skip登录页面上的选项来访问仪表板。
正式发布

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: kubernetes-dashboard
  namespace: kubernetes-dashboard
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
  - kind: ServiceAccount
    name: kubernetes-dashboard
    namespace: kubernetes-dashboard

开发版本

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: kubernetes-dashboard-head
  namespace: kubernetes-dashboard-head
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
  - kind: ServiceAccount
    name: kubernetes-dashboard-head
    namespace: kubernetes-dashboard-head

5. Dashboard 参数

参数列表：

Argument nameDefault valueDescription
insecure-port9090The port to listen to for incoming HTTP requests.
port8443The secure port to listen to for incoming HTTPS requests.
insecure-bind-address127.0.0.1The IP address on which to serve the --insecure-port (set to 127.0.0.1 for loopback only).
bind-address0.0.0.0The IP address on which to serve the --port (set to 0.0.0.0 for all interfaces).
default-cert-dir/certsDirectory path containing --tls-cert-file and --tls-key-file files. Used also when auto-generating certificates flag is set. Relative to the container, not the host.
tls-cert-file-File containing the default x509 Certificate for HTTPS.
tls-key-file-File containing the default x509 private key matching --tls-cert-file.
auto-generate-certificatesfalseWhen set to true, Dashboard will automatically generate certificates used to serve HTTPS.
apiserver-host-The address of the Kubernetes Apiserver to connect to in the format of protocol://address:port, e.g., http://localhost:8080. If not specified, the assumption is that the binary runs inside a Kubernetes cluster and local discovery is attempted.
api-log-levelINFOLevel of API request logging. Should be one of INFO|NONE|DEBUG.
heapster-host-The address of the Heapster Apiserver to connect to in the format of protocol://address:port, e.g., http://localhost:8082. If not specified, the assumption is that the binary runs inside a Kubernetes cluster and service proxy will be used.
sidecar-host-The address of the Sidecar Apiserver to connect to in the format of protocol://address:port, e.g., http://localhost:8000. If not specified, the assumption is that the binary runs inside a Kubernetes cluster and service proxy will be used.
metrics-providersidecarSelect provider type for metrics. ‘none’ will not check metrics.
metric-client-check-period30Time in seconds that defines how often configured metric client health check should be run.
kubeconfig-Path to kubeconfig file with authorization and master location information.
namespacekube-systemWhen non-default namespace is used, create encryption key in the specified namespace.
token-ttl900Expiration time (in seconds) of JWE tokens generated by dashboard. ‘0’ never expires.
authentication-modetokenEnables authentication options that will be reflected on the login screen in the same order as provided. Multiple options can be used at once. Supported values: token, basic. Note that basic option should only be used if apiserver has ‘–authorization-mode=ABAC’ and ‘–basic-auth-file’ flags set.
enable-insecure-loginfalseWhen enabled, Dashboard login view will also be shown when Dashboard is not served over HTTPS.
enable-skip-loginfalseWhen enabled, the skip button on the login page will be shown.
disable-settings-authorizerfalseWhen enabled, Dashboard settings page will not require user to be logged in and authorized to access settings page.
locale-config./locale_conf.jsonFile containing the configuration of locales.
system-banner-When non-empty displays message to Dashboard users. Accepts simple HTML tags.
system-banner-severityINFOSeverity of system banner. Should be one of INFO|WARNING|ERROR.

6 访问

6.1 NodePort 访问

https://github.com/kubernetes/dashboard


$  wget https://raw.githubusercontent.com/kubernetes/dashboard/v2.1.0/aio/deploy/recommended.yaml

$ vim recommended.yaml
//跳转到40行左右，修改其对应的service，类型配置为Nodeport
kind: Service
apiVersion: v1
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard
  namespace: kubernetes-dashboard
spec:
  type: NodePort    //添加类型为NodePort
  ports:
    - port: 443
      targetPort: 8443
      nodePort: 31010      //映射到宿主机的端口为31010
  selector:
    k8s-app: kubernetes-dashboard

$ kubectl apply -f recommended.yaml
namespace/kubernetes-dashboard created
serviceaccount/kubernetes-dashboard created
service/kubernetes-dashboard created
secret/kubernetes-dashboard-certs created
secret/kubernetes-dashboard-csrf created
secret/kubernetes-dashboard-key-holder created
configmap/kubernetes-dashboard-settings created
role.rbac.authorization.k8s.io/kubernetes-dashboard created
clusterrole.rbac.authorization.k8s.io/kubernetes-dashboard created
rolebinding.rbac.authorization.k8s.io/kubernetes-dashboard created
clusterrolebinding.rbac.authorization.k8s.io/kubernetes-dashboard created
deployment.apps/kubernetes-dashboard created
service/dashboard-metrics-scraper created
deployment.apps/dashboard-metrics-scraper created


$ k get pod,svc  -n kubernetes-dashboard 
NAME                                             READY   STATUS    RESTARTS   AGE
pod/dashboard-metrics-scraper-79c5968bdc-zq4tc   1/1     Running   0          117s
pod/kubernetes-dashboard-7448ffc97b-rwnmp        1/1     Running   0          117s

NAME                                TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)         AGE
service/dashboard-metrics-scraper   ClusterIP   10.100.200.128   <none>        8000/TCP        117s
service/kubernetes-dashboard        NodePort    10.96.43.126     <none>        443:31010/TCP   117s

访问:http://192.168.211.40:31010/

在这里插入图片描述

//创建dashboard的管理用户
$ kubectl create serviceaccount dashboard-admin -n kube-system
$ kubectl create clusterrolebinding dashboard-cluster-admin --clusterrole=cluster-admin --serviceaccount=kube-system:dashboard-admin

$ kubectl get secrets -n kube-system | grep dashboard-admin
dashboard-admin-token-lx8th                      kubernetes.io/service-account-token   3      33s

$ kubectl describe secrets dashboard-admin-token-lx8th -n kube-system
Name:         dashboard-admin-token-lx8th
Namespace:    kube-system
Labels:       <none>
Annotations:  kubernetes.io/service-account.name: dashboard-admin
              kubernetes.io/service-account.uid: d6a78702-0099-47bc-949c-946f246403a0

Type:  kubernetes.io/service-account-token

Data
====
ca.crt:     1066 bytes
namespace:  11 bytes
token:      eyJhbGciOiJSUzI1NiIsImtpZCI6IjNROWFvUGhIWk9sYzBHT3JvOUJDb2wtX29Tc1Z0blRVUmxpeEhmaUpIUFEifQ.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.g4B9UQki-7PLBwNsNiE7ppPb8uu0tiAqNBoThREYY4MRoYkxc7Fu9_CtbJZaOjD02iGa5EacsKbG7vmVyrNT_iB1PzOC2ueU5K1QV9M41MftSCw4CBHCgISso3tQDYkTfaRNnWl6weFZqJz3vAQnNX-iOhC7_8KaHzY0qKIahZFvV4j_9-s-a2cxObFp8x_UdKS5sFrZeiu5vz93R8frzuL_3A-UsB1x_k9Ptb9kQieQBV_YCO5qvcdKb3wQUnFYQyZkt05v5yIlLouhNNeQFFJN1f_ycdmoT5yzg2cSM_j1Ls6H92N8SY7R0gG_A14ZQc2hFvxlBRc7F67TIfaWbQ


或者执行
$ kubectl get secret -n kube-system  $(kubectl get serviceaccount  dashboard-admin   -n kube-system -o jsonpath="{.secrets[0].name}") -o jsonpath="{.data.token}" | base64 --decode

获取 token：
在这里插入图片描述

访问
在这里插入图片描述

6.2 kubeconfig 访问

//查看刚才创建的token
$ kubectl get secrets -n kube-system | grep dashboard
dashboard-admin-token-lx8th                      kubernetes.io/service-account-token   3      13m

//查看token的详细信息，会获取token
$ kubectl describe secrets -n kube-system dashboard-admin-token-lx8th
Name:         dashboard-admin-token-lx8th
Namespace:    kube-system
Labels:       <none>
Annotations:  kubernetes.io/service-account.name: dashboard-admin
              kubernetes.io/service-account.uid: d6a78702-0099-47bc-949c-946f246403a0

Type:  kubernetes.io/service-account-token

Data
====
namespace:  11 bytes
token:      eyJhbGciOiJSUzI1NiIsImtpZCI6IjNROWFvUGhIWk9sYzBHT3JvOUJDb2wtX29Tc1Z0blRVUmxpeEhmaUpIUFEifQ.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.g4B9UQki-7PLBwNsNiE7ppPb8uu0tiAqNBoThREYY4MRoYkxc7Fu9_CtbJZaOjD02iGa5EacsKbG7vmVyrNT_iB1PzOC2ueU5K1QV9M41MftSCw4CBHCgISso3tQDYkTfaRNnWl6weFZqJz3vAQnNX-iOhC7_8KaHzY0qKIahZFvV4j_9-s-a2cxObFp8x_UdKS5sFrZeiu5vz93R8frzuL_3A-UsB1x_k9Ptb9kQieQBV_YCO5qvcdKb3wQUnFYQyZkt05v5yIlLouhNNeQFFJN1f_ycdmoT5yzg2cSM_j1Ls6H92N8SY7R0gG_A14ZQc2hFvxlBRc7F67TIfaWbQ
ca.crt:     1066 bytes


//将token的信息生成一个变量
$ DASH_TOKEN=$(kubectl get secrets -n kube-system dashboard-admin-token-lx8th -o jsonpath={.data.token} | base64 -d)


//将k8s集群的配置信息写入到一个文件中，文件可自定义
kubectl config set-cluster kubernetes --server=192.168.211.40:6443 --kubeconfig=/root/.dashboard-admin.conf

$ cat /root/.dashboard-admin.conf
apiVersion: v1
clusters:
- cluster:
    server: 192.168.211.40:6443
  name: kubernetes
contexts: null
current-context: ""
kind: Config
preferences: {}
users: null

$ //将token的信息也写入到文件中（同一个文件）
$ kubectl config set-credentials dashboard-admin --token=${DASH_TOKEN} --kubeconfig=/root/.dashboard-admin.conf
User "dashboard-admin" set.

$ cat /root/.dashboard-admin.conf
apiVersion: v1
clusters:
- cluster:
    server: 192.168.211.40:6443
  name: kubernetes
contexts: null
current-context: ""
kind: Config
preferences: {}
users:
- name: dashboard-admin
  user:
    token: eyJhbGciOiJSUzI1NiIsImtpZCI6IjNROWFvUGhIWk9sYzBHT3JvOUJDb2wtX29Tc1Z0blRVUmxpeEhmaUpIUFEifQ.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJrdWJlLXN5c3RlbSIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VjcmV0Lm5hbWUiOiJkYXNoYm9hcmQtYWRtaW4tdG9rZW4tbHg4dGgiLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC5uYW1lIjoiZGFzaGJvYXJkLWFkbWluIiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZXJ2aWNlLWFjY291bnQudWlkIjoiZDZhNzg3MDItMDA5OS00N2JjLTk0OWMtOTQ2ZjI0NjQwM2EwIiwic3ViIjoic3lzdGVtOnNlcnZpY2VhY2NvdW50Omt1YmUtc3lzdGVtOmRhc2hib2FyZC1hZG1pbiJ9.g4B9UQki-7PLBwNsNiE7ppPb8uu0tiAqNBoThREYY4MRoYkxc7Fu9_CtbJZaOjD02iGa5EacsKbG7vmVyrNT_iB1PzOC2ueU5K1QV9M41MftSCw4CBHCgISso3tQDYkTfaRNnWl6weFZqJz3vAQnNX-iOhC7_8KaHzY0qKIahZFvV4j_9-s-a2cxObFp8x_UdKS5sFrZeiu5vz93R8frzuL_3A-UsB1x_k9Ptb9kQieQBV_YCO5qvcdKb3wQUnFYQyZkt05v5yIlLouhNNeQFFJN1f_ycdmoT5yzg2cSM_j1Ls6H92N8SY7R0gG_A14ZQc2hFvxlBRc7F67TIfaWbQ


//用户信息也写入文件中（同一个文件）
$ kubectl config set-context dashboard-admin@kubernetes --cluster=kubernetes --user=dashboard-admin --kubeconfig=/root/.dashboard-admin.conf

$ cat /root/.dashboard-admin.conf 
apiVersion: v1
clusters:
- cluster:
    server: 192.168.211.40:6443
  name: kubernetes
contexts:
- context:                          #添加
    cluster: kubernetes             #添加
    user: dashboard-admin           #添加
  name: dashboard-admin@kubernetes  #添加
current-context: ""
kind: Config
preferences: {}
users:
- name: dashboard-admin
  user:
    token: eyJhbGciOiJSUzI1NiIsImtpZCI6IjNROWFvUGhIWk9sYzBHT3JvOUJDb2wtX29Tc1Z0blRVUmxpeEhmaUpIUFEifQ.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJrdWJlLXN5c3RlbSIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VjcmV0Lm5hbWUiOiJkYXNoYm9hcmQtYWRtaW4tdG9rZW4tbHg4dGgiLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC5uYW1lIjoiZGFzaGJvYXJkLWFkbWluIiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZXJ2aWNlLWFjY291bnQudWlkIjoiZDZhNzg3MDItMDA5OS00N2JjLTk0OWMtOTQ2ZjI0NjQwM2EwIiwic3ViIjoic3lzdGVtOnNlcnZpY2VhY2NvdW50Omt1YmUtc3lzdGVtOmRhc2hib2FyZC1hZG1pbiJ9.g4B9UQki-7PLBwNsNiE7ppPb8uu0tiAqNBoThREYY4MRoYkxc7Fu9_CtbJZaOjD02iGa5EacsKbG7vmVyrNT_iB1PzOC2ueU5K1QV9M41MftSCw4CBHCgISso3tQDYkTfaRNnWl6weFZqJz3vAQnNX-iOhC7_8KaHzY0qKIahZFvV4j_9-s-a2cxObFp8x_UdKS5sFrZeiu5vz93R8frzuL_3A-UsB1x_k9Ptb9kQieQBV_YCO5qvcdKb3wQUnFYQyZkt05v5yIlLouhNNeQFFJN1f_ycdmoT5yzg2cSM_j1Ls6H92N8SY7R0gG_A14ZQc2hFvxlBRc7F67TIfaWbQ


//将上下文的配置信息也写入文件中（同一个文件）
$ kubectl config use-context dashboard-admin@kubernetes --kubeconfig=/root/.dashboard-admin.conf

$ cat /root/.dashboard-admin.conf 
apiVersion: v1
clusters:
- cluster:
    server: 192.168.211.40:6443
  name: kubernetes
contexts:
- context:
    cluster: kubernetes
    user: dashboard-admin
  name: dashboard-admin@kubernetes
current-context: dashboard-admin@kubernetes  #添加dashboard-admin@kubernetes
kind: Config
preferences: {}
users:
- name: dashboard-admin
  user:
    token: eyJhbGciOiJSUzI1NiIsImtpZCI6IjNROWFvUGhIWk9sYzBHT3JvOUJDb2wtX29Tc1Z0blRVUmxpeEhmaUpIUFEifQ.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJrdWJlLXN5c3RlbSIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VjcmV0Lm5hbWUiOiJkYXNoYm9hcmQtYWRtaW4tdG9rZW4tbHg4dGgiLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC5uYW1lIjoiZGFzaGJvYXJkLWFkbWluIiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZXJ2aWNlLWFjY291bnQudWlkIjoiZDZhNzg3MDItMDA5OS00N2JjLTk0OWMtOTQ2ZjI0NjQwM2EwIiwic3ViIjoic3lzdGVtOnNlcnZpY2VhY2NvdW50Omt1YmUtc3lzdGVtOmRhc2hib2FyZC1hZG1pbiJ9.g4B9UQki-7PLBwNsNiE7ppPb8uu0tiAqNBoThREYY4MRoYkxc7Fu9_CtbJZaOjD02iGa5EacsKbG7vmVyrNT_iB1PzOC2ueU5K1QV9M41MftSCw4CBHCgISso3tQDYkTfaRNnWl6weFZqJz3vAQnNX-iOhC7_8KaHzY0qKIahZFvV4j_9-s-a2cxObFp8x_UdKS5sFrZeiu5vz93R8frzuL_3A-UsB1x_k9Ptb9kQieQBV_YCO5qvcdKb3wQUnFYQyZkt05v5yIlLouhNNeQFFJN1f_ycdmoT5yzg2cSM_j1Ls6H92N8SY7R0gG_A14ZQc2hFvxlBRc7F67TIfaWbQ
//最后将配置信息导入到客户端本地
$ sz /root/.dashboard-admin.conf

访问：https://192.168.211.40:31010/
在这里插入图片描述
在这里插入图片描述

6.3 proxy 访问

出于安全原因，推荐的配置为 Dashboard ServiceAccount 提供对 Kubernetes 资源的有限访问权限。这可以防止secrets或证书等敏感集群数据被意外暴露。

也就是说，要利用所有 Web UI 功能，您需要一个具有管理（超级用户）权限的服务帐户，即具有cluster -admin集群角色的服务帐户。

使用您喜欢的文本编辑器，创建一个admin-user.yml文件：

---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: admin-user
  namespace: kubernetes-dashboard
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: admin-user
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- kind: ServiceAccount
  name: admin-user
  namespace: kubernetes-dashboard


kubectl apply -f admin-user.yml

Accessing the Kubernetes Dashboard

访问 Kubernetes Dashboard 的推荐方式是通过 Bearer Tokens。这为管理权限提供了极大的灵活性。

要获取 ServiceAccount admin-user的 Bearer Token，请运行以下命令。

kubectl get secret -n kubernetes-dashboard $(kubectl get serviceaccount admin-user -n kubernetes-dashboard -o jsonpath="{.secrets[0].name}") -o jsonpath="{.data.token}" | base64 --decode

输出：
在这里插入图片描述
赋值保存，执行公开 Kubernetes Dashboard 命令：

kubectl proxy

如果您已按照本教程中描述的过程进行操作，终端中将显示一条消息，指示 WebUI 在127.0.0.1:8001可用。出于安全原因，仪表板只能从运行kubectl proxy命令的机器访问。请记住这一点，特别是如果 Kubernetes 安装在远程服务器上。

代理激活后，您可以访问 Web UI，将您喜欢的浏览器指向以下地址：
http://localhost:8001/api/v1/namespaces/kubernetes-dashboard/services/https:kubernetes-dashboard:/proxy

在这里插入图片描述

参考：

ghostwritten
关注
专栏目录
k8s登录_用户名密码方式登录Kubernetes-Dashboard
weixin_39943868的博客
12-21 6612
背景：默认安装完k8s集群和Dashboard之后都是使用token登录的,这样使用起来不是很方便,每次登录还要找到token才能登录。本片文章使用用户和密码方式进行登录！环境介绍集群环境 集群版本 搭建方式 dashboard的版本master v1.16.8 kubeadm kubernetesui_dashboard:v2.0....
CKS - Practise - Immutable.docx
04-29
CKS - Practise Immutable Resource
Kubernetes Dashboard 设置用户密码登陆
weixin_33720956的博客
05-21 1616
Kubernetes Dashboard 设置用户密码登陆 标签（空格分隔）： Kubernetes2019年05月20日 K8s 文档 K8s 1.13源码安装k8s dashboard token访问 仪表板是基于Web的Kubernetes用户界面。您可以使用仪表板将容器化应用程序部署到Kubernetes集群，对容器化应用程序进行故障排除，并管理集群本身及其伴随资源。您可以使用仪表板来概...
Kubernetes Dashboard 设置以用户名密码形式登录
ZouChengli的博客
07-11 7061
前言： 前面我有提到过Kubernetes如何部署Dashboard，怎样获取token进行登录，那么其实还存在很多问题。每次都要去抓token比较繁琐，那么是不是有更好的校验方式呢？比如我们常用的用户名密码形式，答案是：有！！！，好了废话不多说，直接上干货。 1.在装过dashboard环境下。我们去master节点新增一个文件。里面内容结构是：用户名，密码，唯一ID。 [root@master ~]# echo "admin,adminpwd,1" > /etc/kubernetes/
附005.Kubernetes身份认证
weixin_30247781的博客
06-29 208
一 Kubernetes访问 1.1 Kubernetes交互 与Kubernetes交互通常有kubectl、客户端（Dashboard）、REST API请求。 1.2 API访问流程 用户使用kubectl、客户端（Web）、或者REST请求访问API的时候，Kubernetes内部服务或外部访问都可获得授权来访问API。当一个请求达到API的时候，通常会经过以下阶段： 1.3...
k8s bashboard安装文件
mnasd的博客
03-20 765
kind: ClusterRoleBinding apiVersion: rbac.authorization.k8s.io/v1 metadata: name: kubernetes-dashboard subjects: - kind: ServiceAccount name: kubernetes-dashboard namespace: kube-system r...
2021 CKA-CKS（Kubernetes管理员/专家）备考攻略.pptx
10-26
2021 CKA-CKS（Kubernetes管理员/专家）备考攻略
kubernetes/CKS认证试验手册-LFS260-labs_V2021-08-10.pdf
10-19
3. 安装集群（Installing the Cluster）：涉及如何实际在物理或虚拟的硬件上安装Kubernetes集群。这可能包括对不同安装方法的讨论，比如kubeadm、minikube、云提供商的解决方案等。 4. 保障kube-apiserver的安全...
CKS - Practise - PSP and Audit.docx
04-29
### CKS - 实践 - PSP 和审计 #### Kubernetes 审计功能启用与配置 在 Kubernetes 集群中实现审计功能对于确保系统的安全性和合规性至关重要。本实践指南将详细介绍如何在 Kubernetes 集群中配置审计日志，并创建...
CKS - Practise - ImageWebHook.docx
04-29
在Kubernetes环境中，CKS（Certified Kubernetes Security Specialist）考试中的一个重要话题是关于"ImagePolicyWebhook"的实践。ImagePolicyWebhook是Kubernetes的一种准入控制器，它允许管理员定义策略来控制部署...
authentication password与scheme区别
weixin_33968104的博客
01-07 1177
authentication-mode 常见的配置参数有三种user-interface vty 0 141、authentication-mode aaa或authentication-mode scheme 创建本地用户并启用AAA验证。2、authentication-mode password 直接在user-interface vty 下用pa***od设置...
kubernetes 功能介绍
菲宇运维
09-13 4027
kubernetes 的马洛斯需求 kubernetes 架构图 kubernetes 主要基本概念和术语 master Kubernets API server,提供 Kubernets Controlle Manager (kube-controller-manager),kubernets 里面所有资源对象的自动化控制中心，可以理解为资源对象的大总...
Kubernetes cluster-autoscaler 解析
@毛宏斌
05-23 7983
CA（ cluster-autoscaler）是用来弹性伸缩kubernetes集群的。我们在使用kubernetes集群经常问到的一个问题是，我应该保持多大的节点规模来满足应用需求呢？ cluster-autoscaler的出现解决了这个问题，它可以自动的根据部署的应用所请求的资源量来动态的伸缩集群。
Kubernetes CKS 2021 Complete Course + Simulator笔记【1】---k8s架构介绍
爱死亡机器人
04-11 1044
前期准备 机器准备 创建集群 注册google cloud 配置本地关联google cloud 申请机器并创建集群 管理k8s集群 k8s安全框架
Kubernetes CKS 2021--网络策略networkpolicy
爱死亡机器人
04-20 1219
文章目录1. 集群配置网络策略2. Practice - Frontend to Backend traffic3. Practice - Backend to Database traffic 1. 集群配置网络策略 2. Practice - Frontend to Backend traffic root@master:~# k run frontend --image=nginx pod/frontend created root@master:~# k run backend
k8s 中存储之 NFS 卷
weixin_68398469的博客
10-06 780
HostPath可以解决数据持久化的问题，但是一旦Node节点故障了，Pod如果转移到了别的节点，又会出现问题了，此时需要准备单独的网络存储系统，比较常用的用NFS、CIFS。NFS是一个网络文件存储系统，可以搭建一台NFS服务器，然后将Pod中的存储直接连接到NFS系统上，这样的话，无论Pod在节点上怎么转移，只要Node跟NFS的对接没问题，数据就可以成功访问。
k8s实战-3
计算机小白的奋起
10-06 1077
本篇主要介绍了k8s中的ingress和存储抽象，并没有涉及到很深的解释，只是从使用的角度上介绍如何去用这些内容，想要更深一步的理解还需进一步学习。
k8s 中存储之 PV 持久卷 与 PVC 持久卷申请
最新发布
weixin_68398469的博客
10-07 1347
前面已经学习了使用NFS提供存储，此时就要求用户会搭建NFS系统，并且会在yaml配置nfs。由于kubernetes支持的存储系统有很多，要求客户全都掌握，显然不现实。为了能够屏蔽底层存储实现的细节，方便用户使用， kubernetes引入PV和PVC两种资源对象。PV（Persistent Volume）是持久化卷的意思，是对底层的共享存储的一种抽象。一般情况下PV由kubernetes管理员进行创建和配置，它与底层具体的共享存储技术有关，并通过插件完成与共享存储的对接。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

ghostwritten

口渴，请赏一杯下午茶吧

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值