k8s认证与授权理解

**K8S认证与授权理解**

在Kubernetes（K8S）集群中，认证和授权是非常重要的概念，用于确保只有合法的用户和服务能够访问集群中的资源。认证是验证用户或服务的身份，而授权是确认用户或服务是否有权限执行特定的操作。

以下是使用K8S认证与授权的基本流程：

| 步骤 | 描述 |
|------|---------------------------------------------------|
| 1 | 用户或服务提供凭据以请求访问K8S集群资源 |
| 2 | K8S API Server收到请求后进行认证检查 |
| 3 | 认证通过后，API Server进行授权检查 |
| 4 | 如果授权通过，请求被允许执行 |
| 5 | 否则，请求被拒绝执行 |

下面是每一步具体需要做的工作：

**步骤1：提供凭据以请求访问K8S集群资源**

在K8S中，常用的认证凭据包括证书、ServiceAccount和Token。对于用户，使用kubectl命令行工具提供证书；对于服务，使用ServiceAccount提供Token。

**步骤2：API Server进行认证检查**

K8S API Server通过证书请求的CN字段（Common Name）或Token中的信息来验证用户或服务的身份。

```yaml
apiVersion: v1
kind: ServiceAccount
metadata:
name: my-service-account
```

```bash
kubectl apply -f serviceaccount.yaml
```

**步骤3：API Server进行授权检查**

K8S API Server通过RBAC（Role-Based Access Control）策略来确定用户或服务是否有权请求的操作。可以使用Role、RoleBinding和ClusterRole、ClusterRoleBinding来设置RBAC规则。

```yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
namespace: default
name: pod-reader
rules:
- apiGroups: [""]
resources: ["pods"]
verbs: ["get", "watch", "list"]
```

```yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: read-pods
namespace: default
roleRef:
apiGroup: rbac.authorization.k8s.io
kind: Role
name: pod-reader
subjects:
- kind: User
name: alice
```

**总结：**

K8S认证与授权是确保K8S集群安全性的关键措施。通过使用证书、ServiceAccount、Token等凭据进行认证，以及使用RBAC规则进行授权，可以有效保护集群中的资源不被未授权的用户或服务访问。希望这篇文章能够对你理解K8S认证与授权有所帮助！