Kubernetes的认证授权分为认证（鉴定用户身份）、授权（操作权限许可鉴别）、准入控制（资源对象操作时实现更精细的许可检查）三个阶段。
Authentication（认证）
认证方式现共有8种，可以启用一种或多种认证方式，只要有一种认证方式通过，就不再 进行其它方式的认证。通常启用X509 Client Certs和Service Accout Tokens两种认证方式 。
Kubernetes集群有两类用户：由Kubernetes管理的Service Accounts （服务账户）和（ Users Accounts） 普通账户。k8s中账号的概念不是我们理解的账号，它并不真的存在， 它只是形式上存在。
Authorization（授权）
必须经过认证阶段，才到授权请求，根据所有授权策略匹配请求资源属性，决定允许或拒
绝请求。授权方式现共有6种，AlwaysDeny、AlwaysAllow、ABAC、RBAC、Webhook、 Node。默认集群强制开启RBAC。
Admission Control（准入控制）
用于拦截请求的一种方式，运行在认证、授权之后，是权限认证链上的最后一环，对请求 API资源对象进行修改和校验。
UserAccount与serviceaccount：
（1）用户账户是针对人而言的。 服务账户是针对运行在 pod 中的进程而言的。
（2）用户账户是全局性的。 其名称在集群各 namespace 中都是全局唯一的，未来的用户资源不 会做 namespace 隔离， 服务账户是 namespace 隔离的。
（3）通常情况下，集群的用户账户可能会从企业数据库进行同步，其创建需要特殊权限，并且涉 及到复杂的业务流程。 服务账户创建的目的是为了更轻量，允许集群用户为了具体的任务创建服务账户 ( 即权限最小化原则 )。
认证
切换用户
由于默认用户没有任何权限，无法访问，需要进行授权
切回admin
RBAC（Role Based Access Control）：基于角色访问控制授权。允许管理员通过Kubernetes API动态配置授权策略。RBAC就是用户通过角色与权限进行关联；RBAC只有授权，没有拒绝授权，所以只需要定义允许该用户做什么即可；
RBAC包括四种类型：Role、ClusterRole、RoleBinding、ClusterRoleBinding。
控制器的概念：
组的概念：
切回到admin
回收
