k8s日常动手实践 ~~ pod访问 pod请求 k8s api ~ 含新版带curl的busybox镜像

前言:

可以使用 Kubernetes API 获取集群信息。使用 Service Account(SA)进行身份验证,可以以安全的方式访问 Kubernetes API,而无需在 Pod 中使用明文凭据。

以下是一个使用 Service Account 访问 Kubernetes API 获取集群信息的示例:

整体步骤

以下是一个使用 Service Account 访问 Kubernetes API 获取集群信息的示例:

1 创建一个名为 "my-sa" 的 Service Account:
bash 复制代码
 kubectl create serviceaccount my-sa  
2. 创建一个名为 "my-role" 的 Role,并授予访问 "pods" 和 "nodes" 资源的权限:

cat <<EOF | kubectl apply -f -

kind: Role

apiVersion: rbac.authorization.k8s.io/v1

metadata:

name: my-role

rules:

  • apiGroups: [""]
    resources: ["pods", "nodes"]
    verbs: ["get", "list", "watch"]
    EOF

上面命令好像没有结尾 2-role的 yaml如下

yaml 复制代码
kind: Role  
apiVersion: rbac.authorization.k8s.io/v1  
metadata:  
  name: my-role  
rules:  
- apiGroups: [""]  
  resources: ["pods", "nodes"]  
  verbs: ["get", "list", "watch"]  
3. 将 "my-role" Role 绑定到 "my-sa" Service Account:
bash 复制代码
kubectl create rolebinding my-role-binding --role=my-role --serviceaccount=default:my-sa  
 
4. 在 Pod 中使用 "my-sa" Service Account 访问 Kubernetes API:
yaml 复制代码
apiVersion: v1  
kind: Pod  
metadata:  
  name: my-pod  
spec:  
  serviceAccountName: my-sa  
  containers:  
  - name: my-container  
    image: yauritux/busybox-curl # curlimages/curl gep推荐镜像 curl版本较高
    command: ["sh", "-c", "while true; do sleep 3600; done"]  
5. 进入 Pod 中,并使用 curl 命令访问 Kubernetes API 获取集群信息:

kubectl exec -it my-pod -- sh

TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)

#curl -H "Authorization: Bearer $TOKEN" https://kubernetes.default.svc/api/v1/nodes

推荐跳过认证 不然会报证书错误 curl: (35) error:1407742E:SSL routines:SSL23_GET_SERVER_HELLO:tlsv1 alert protocol version

curl -k -H "Authorization: Bearer $TOKEN" https://kubernetes.default.svc/api/v1/nodes

在上述示例中,我们创建了一个名为 "my-sa" 的 Service Account,并使用 Role 和 RoleBinding 为其授予了访问 "pods" 和 "nodes" 资源的权限。然后,在 Pod 中使用 "my-sa" Service Account 访问 Kubernetes API,使用 curl 命令获取集群中的节点信息。

最后虽然报错,但是还是一次不错的实践

powershell 复制代码
{
  "kind": "Status",
  "apiVersion": "v1",
  "metadata": {},
  "status": "Failure",
  "message": "nodes is forbidden: User \"system:serviceaccount:default:my-sa\" cannot list resource \"nodes\" in API group \"\" at the cluster scope",
  "reason": "Forbidden",
  "details": {
    "kind": "nodes"
  },
  "code": 403
相关推荐
●VON1 小时前
重生之我在大学自学鸿蒙开发第九天-《分布式流转》
学习·华为·云原生·harmonyos·鸿蒙
爱宇阳3 小时前
禅道社区版 Docker Compose 服务迁移教程
运维·docker·容器
安当加密3 小时前
云原生时代的数据库字段加密:在微服务与 Kubernetes 中实现合规与敏捷的统一
数据库·微服务·云原生
能不能别报错4 小时前
K8s学习笔记(十九) K8s资源限制
笔记·学习·kubernetes
qq_264220894 小时前
K8s存储-PV与PVC
云原生·容器·kubernetes
kyle-fang6 小时前
tritonserver的docker镜像中运行onnxruntime-gpu,报错segmentationfault
容器
vue学习7 小时前
docker 运行容器限制内存、限制磁盘 IO
运维·docker·容器
山塘小鱼儿8 小时前
open-webui docker高速下载&本地部署
运维·docker·容器
努力向前的JF(s1hjf)10 小时前
雷达点云数据展示在webviz(ROS1)
云原生·eureka
没有bug.的程序员14 小时前
云原生与分布式架构的完美融合:从理论到生产实践
java·分布式·微服务·云原生·架构