k8s日常动手实践 ~~ pod访问 pod请求 k8s api ~ 含新版带curl的busybox镜像

前言:

可以使用 Kubernetes API 获取集群信息。使用 Service Account(SA)进行身份验证,可以以安全的方式访问 Kubernetes API,而无需在 Pod 中使用明文凭据。

以下是一个使用 Service Account 访问 Kubernetes API 获取集群信息的示例:

整体步骤

以下是一个使用 Service Account 访问 Kubernetes API 获取集群信息的示例:

1 创建一个名为 "my-sa" 的 Service Account:
bash 复制代码
 kubectl create serviceaccount my-sa  
2. 创建一个名为 "my-role" 的 Role,并授予访问 "pods" 和 "nodes" 资源的权限:

cat <<EOF | kubectl apply -f -

kind: Role

apiVersion: rbac.authorization.k8s.io/v1

metadata:

name: my-role

rules:

  • apiGroups: [""]
    resources: ["pods", "nodes"]
    verbs: ["get", "list", "watch"]
    EOF

上面命令好像没有结尾 2-role的 yaml如下

yaml 复制代码
kind: Role  
apiVersion: rbac.authorization.k8s.io/v1  
metadata:  
  name: my-role  
rules:  
- apiGroups: [""]  
  resources: ["pods", "nodes"]  
  verbs: ["get", "list", "watch"]  
3. 将 "my-role" Role 绑定到 "my-sa" Service Account:
bash 复制代码
kubectl create rolebinding my-role-binding --role=my-role --serviceaccount=default:my-sa  
 
4. 在 Pod 中使用 "my-sa" Service Account 访问 Kubernetes API:
yaml 复制代码
apiVersion: v1  
kind: Pod  
metadata:  
  name: my-pod  
spec:  
  serviceAccountName: my-sa  
  containers:  
  - name: my-container  
    image: yauritux/busybox-curl # curlimages/curl gep推荐镜像 curl版本较高
    command: ["sh", "-c", "while true; do sleep 3600; done"]  
5. 进入 Pod 中,并使用 curl 命令访问 Kubernetes API 获取集群信息:

kubectl exec -it my-pod -- sh

TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)

#curl -H "Authorization: Bearer $TOKEN" https://kubernetes.default.svc/api/v1/nodes

推荐跳过认证 不然会报证书错误 curl: (35) error:1407742E:SSL routines:SSL23_GET_SERVER_HELLO:tlsv1 alert protocol version

curl -k -H "Authorization: Bearer $TOKEN" https://kubernetes.default.svc/api/v1/nodes

在上述示例中,我们创建了一个名为 "my-sa" 的 Service Account,并使用 Role 和 RoleBinding 为其授予了访问 "pods" 和 "nodes" 资源的权限。然后,在 Pod 中使用 "my-sa" Service Account 访问 Kubernetes API,使用 curl 命令获取集群中的节点信息。

最后虽然报错,但是还是一次不错的实践

powershell 复制代码
{
  "kind": "Status",
  "apiVersion": "v1",
  "metadata": {},
  "status": "Failure",
  "message": "nodes is forbidden: User \"system:serviceaccount:default:my-sa\" cannot list resource \"nodes\" in API group \"\" at the cluster scope",
  "reason": "Forbidden",
  "details": {
    "kind": "nodes"
  },
  "code": 403
相关推荐
老实巴交的麻匪19 小时前
(六)学习、实践、理解 CI/CD 与 DevOps:GitHub Actions 工作流实践
后端·云原生·自动化运维
向上的车轮1 天前
云原生的12个要素是什么?
云原生
只因在人海中多看了你一眼1 天前
B.50.10.10-微服务与电商应用
微服务·云原生·架构
喂完待续1 天前
【序列晋升】29 Spring Cloud Task 微服务架构下的轻量级任务调度框架
java·spring·spring cloud·云原生·架构·big data·序列晋升
衍余未了1 天前
centos9 docker启动不起来,docker启动发生堵塞问题!
运维·docker·容器
我真的是大笨蛋1 天前
K8S-基础架构
笔记·云原生·容器·kubernetes
tianyuanwo1 天前
Docker Registry 实现原理、适用场景、常用操作及搭建详解
运维·docker·容器·registry
木二_1 天前
附050.Kubernetes Karmada Helm部署联邦及使用
容器·kubernetes·karmada·kubernetes联邦·集群联邦
wdxylb1 天前
Kubernetes实战系列(4)
云原生·容器·kubernetes
专注代码七年2 天前
Docker 本地开发环境搭建(MySQL5.7 + Redis7 + Nginx + 达梦8)- Windows11 版 2.0
nginx·docker·容器