kubectl  --> 认证 --->授权 -->准入控制

 

认证:证书 身份识别

授权:rbac  权限检查

准入控制:  补充授权机制 多个插件实现 只在创建 删除 修改 或做代理操作时做补充

 

用户账号:

user

 

客户端 -->API server -->

user:username,uid

group:

extra:

API

Request path 访问资源请求

http://192.168.81.10:6443/apis/apps/v1/namespaces/default/deployments/myapp-deploy 

kubectl api-versions

 

kubectl证书

cat .kube/config    本地有证书，可直接连接apiserver 授信了

kubectl proxy --port=8080   在其他服务器上开启apiserver监听  通过此监听与apiserver建立连接

curl http://localhost:8080/api/v1/namespaces 请求是通过url发给apiserver的，响应的是一个json结果

 

 kubectl get deploy -n kube-system

curl http://localhost:8080/apis/apps/v1/namespaces/kube-system/deployments

curl http://localhost:8080/apis/apps/v1/namespaces/kube-system/deployments/coredns

所有的资源控制都是通过api请求实现的

/apis 是总的接口

 

kubectl get deploy

curl http://localhost:8080/apis/apps/v1/namespaces/default/deployments/myapp-deploy

Http request verb:请求动作 curl -s

 get posts put delete

API requests verb  即kubectl命令

 get list create update patch watch proxy delete deletecollection

Rescource:

 Subresource  Namespace   Api group

 

kubectl get statefulset

curl http://localhost:8080/apis/apps/v1/namespaces/default/statefulsets

curl http://localhost:8080/apis/apps/v1/namespaces/default/statefulsets/myapp

 

有哪些客户端需要与apiserver联系

集群外的客户端 通过apiserver监听的节点地址kubectl proxy --port=8080

 

集群中的pods 通过  kubectl get svc,   kubectl describe svc kubernetes,即通过10.96.0.1 kubernetes连接的 通过service引入到集群内部来

 pods --> service kubernetes 10.96.0.1 --> 192.168.81.10:6443 apiserver 从而pod可以直接请求apiserver服务了

 

apiserver还要做认证: apiserver把自己的证书传给客户端  --> 客户端校验apiserver身份 --> apiserver校验客户端身份(pod地址为10.96.0.1)

 

 

pod账户认证 serviceaccount  sa 服务账号

kubectl explain pods.spec.serviceAccountName

解释:

kubectl describe pods myapp-deploy-55b78d8548-t4xxx

Volumes:

  default-token-dkt94:

    Type:        Secret (a volume populated by a Secret)

    SecretName:  default-token-dkt94

sercretName即是pod的账号或认证信息  以volumes的default-token-dkt94挂载到pods之上

 

serviceAccount也是标准的k8s资源 通过serviceAccountName加载到pods上

如何创建serviceaccount

kubectl create serviceaccount -h

 

例如:

kubectl create serviceaccount mysa --dry-run

          创建serviceaccount账号  账号名 --dry-run:没有真正创建 生成框架

kubectl get sa

 

kubectl create serviceaccount admin

kubectl get sa  在查询就已经创建了 系统会自动为admin生成secret信息

kubectl describe sa admin  查询admin 的secret

kubectl get secrets  确认secret

kubectl describe secrets admin-token-5kqwt 这个serviceaccount只限于连接apiserver登陆认证,但干不了别的事情，需要授权

 

使用自定义sa

cp pod-demo.yaml pod-sa-demo.yaml
vim pod-sa-demo.yaml
apiVersion: v1
kind: Pod
metadata:
  name: pod-sa-demo
  namespace: default

  labels:

app: myapp
    tier: frontend

spec:

containers:
  - name: myapp
    image: ikubernetes/myapp:v1
    ports:
    - name: http
      containerPort: 80

  serviceAccount: admin 定义pod使用自定义的sa账号 不定义就会自动使用default-token-dkt94

 

验证

kubectl apply -f pod-sa-demo.yaml
kubectl describe pods pod-sa-demo
Volumes:
  admin-token-5kqwt:
    Type:        Secret (a volume populated by a Secret)
    SecretName:  admin-token-5kqwt

 

获取资源模板

kubectl create serviceaccount mysa --dry-run -o yaml > xxxx.yaml  可获取yaml资源模板

kubectl get pods myapp-1 -o yaml --export > xxxx.yaml 获取资源清单

 

secret

docker-registry  docker到docker私有服务认证

generics 其他通用generics

tls 给pod提供证书

 

与镜像仓库registery认证imagePullSecrets 认证的 secret为docker-registry，也可以使用sa来登陆registry验证,sa定义在pods上

只需要在定义pod资源清单时加上Image pull secret项

 

kubectl explain pods.spec.imagePullSecrets
kubectl create secret --help
kubectl describe sa admin
Image pull secrets:  <none>

 

人类账号认证 useraccount

 

Rbac授权

kubectl config –help 管理kubectl配置文件的

kubeconfig

kubectl config view 查看有多少集群

 

证书存放: /etc/kubernetes/pki/

 

创建账号:

先创建私钥

(umask 077; openssl genrsa -out mageedu.key 2048)

  子shell          加密方式  输出key私钥 私钥大小

结果:mageedu.key

 

基于私钥去创建证书，由ca.crt签署

先生成证书签署请求

openssl req -new -key mageedu.key -out mageedu.csr -subj "/CN=mageedu"

                               证书签署请求    指定名称:用户账号

结果: mageedu.csr

 

签证：用ca.crt去签

openssl x509 -req -in mageedu.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out mageedu.crt -days 365

             -in 指定签署请求文件 –CA指定ca签   -CAcreateserial  指定CA自己来签

             -out 保存为证书文件  -days保存多久

结果: mageedu.crt

 

查看证书内容

openssl x509 -in mageedu.crt -text -noout

                         文本输出

 

把用户账号信息添加到去认证为连入k8s集群的信息

kubectl config set-credentials –help

           设置认证

kubectl config set-credentials mageedu  --client-certificate=./mageedu.crt --client-key=./mageedu.key --embed-certs=true

 

mageedu  认证进入集群的认证名,与用户帐号要一样

--client-certificate  指定crt证书

--client-key  指定私钥

--embed-certs 是否隐藏证书

kubectl config view  查看已经创建集群管理员账号

 

设置上下文contexts,让mageedu，也能去访问集群

kubectl config set-context  mageedu@kubernetes --cluster=kubernetes --user=mageedu

                           上下文名称        指定的集群     指定的登录用户名

- context:

    cluster: kubernetes 集群名

    user: mageedu  登录名

  name: clusteradmin@kubernetes  上下文名

 

切换账号  等于切换context

kubectl config use-context clusteradmin@kubernetes

测试访问

Kubectl get pods

 

设置集群

kubectl config set-cluster –help
kubectl config --help
kubectl config set-cluster mycluster --kubeconfig=/tmp/test.conf --server="https://192.168.85.110:6443"

                    集群名     指定配置文件      指定server

--certificate-authority=/etc/kubernetes/pki/ca.crt --embed-certs=true

 指定CA证书                                 是否隐藏CA

 

验证查看创建的集群cluster

kubectl config view --kubeconfig=/tmp/test.conf