k8s基于rbac权限管理serviceAccount授权管理

测试通过http访问apiServer

curl没有证书不能通过https来访问apiServer需要使用kubectl代理

bash 复制代码
#使用kubectl代理
kubectl proxy --port=8111&
#curl访问 api/v1 是资源所属群组/版本 即创建资源时定义的apiVersion
#后边跟的是要访问的资源
#查看所有命名空间
#查看核心资源用api 其他都用apis/apps
curl http://localhost:8111/api/v1/namespaces
#查看kube-system命名空间下的所有deployments
curl http://localhost:8111/apis/apps/v1/namespaces/kube-system/deployments
#查看具体deployment
curl http://localhost:8111/apis/apps/v1/namespaces/kube-system/deployments/coredns

k8s认证授权分两类

一类是集群外访问apiServer 例如:cubectl客户端等 使用token,证书等进行认证

一类是集群内部资源的认证授权例如对pod,svc等资源 使用serviceAccount认证

每个pod在创建时 都会有个默认的认证信息 例如:

bash 复制代码
Volumes:
  kube-api-access-gm7dh:
    Type:                    Projected (a volume that contains injected data from multiple sources)
    TokenExpirationSeconds:  3607
    ConfigMapName:           kube-root-ca.crt
    ConfigMapOptional:       <nil>
    DownwardAPI:             true

k8s 默认使用serviceAccount管理权限

serviceAccount本身不对权限管理 只是创建个账号 进行认证

授权是rbac来管理

bash 复制代码
#创建serviceAccount 加上参数 -o yaml --dry-run 不会执行操作 而是会返回个yaml文件 我们可以在这个文件基础上进行修改方便编辑yaml文件
kubectl create serviceaccount sacc -o yaml --dry-run
# 

创建serviceAccount

bash 复制代码
apiVersion: v1
kind: ServiceAccount
metadata:
  name: nfs-client-provisioner
  namespace: default
bash 复制代码
#查看
kubectl get sa

对应pod

bash 复制代码
apiVersion: v1
kind: Pod
metadata:
 name: sa-nginx-pod
 namespace: default
spec:
 containers:
 - name: nginx-containers
   image: docker.io/library/nginx
 serviceAccountName: ssa-test

查看 kubectl 配置

bash 复制代码
#查看kubectl 配置 包括连接的集群 账号等
kubectl config view

rbac授权方式

bash 复制代码
kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: cluster-role-test
rules:
  - apiGroups: [""]
    resources: ["persistentvolumes"]
    verbs: ["get", "list", "watch", "create", "delete"]
  - apiGroups: [""]
    resources: ["persistentvolumeclaims"]
    verbs: ["get", "list", "watch", "update"]
  - apiGroups: ["storage.k8s.io"]
    resources: ["storageclasses"]
    verbs: ["get", "list", "watch"]
  - apiGroups: [""]
    resources: ["events"]
    verbs: ["create", "update", "patch"]
---
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: cluster-role-binding-test
subjects: #sa对象绑定到角色
  - kind: ServiceAccount
    name: ssa-test #sa对象
    namespace: default
roleRef:
  kind: ClusterRole
  name: cluster-role-test #角色
  apiGroup: rbac.authorization.k8s.io

ClusterRole与Role区别 :

ClusterRole不限制namespace

Role:只能限制在一个namespace中

相关推荐
drebander5 小时前
Docker 安全基础:权限、用户、隔离机制
安全·docker·容器
Marcel1116 小时前
WSL2使用Kind创建K8S集群时出现IPV6网络创建失败
云原生·kubernetes·kind
柳鲲鹏8 小时前
docker push镜像到阿里云
阿里云·docker·容器
猪萌萌9 小时前
关于如何利用群晖Docker搭建Project Zomboid(僵尸毁灭工程)私人服务器-保姆级教程
服务器·docker·容器·僵尸世界大战·游戏服务器搭建
剩下了什么10 小时前
统信服务器操作系统V20 1070A 安装docker新版本26.1.4
运维·docker·容器
呱牛do it11 小时前
【系列专栏】银行IT的云原生架构-云单元架构 12
云原生·金融·架构
zxzy_org11 小时前
轻松上手:2025年微服务教程
算法·微服务·云原生·架构
格桑阿sir13 小时前
Kubernetes控制平面组件:etcd(二)
kubernetes·etcd·raft·mvcc·boltdb·watch机制·treeindex
安全检测中14 小时前
关于docker及容器的了解学习记录
学习·docker·容器
power-辰南14 小时前
微服务线上发布稳定性解决方案
微服务·云原生·架构·无损上线·无损下线