Python 使用 Token 认证方案连接 Kubernetes (k8s) 的详细过程

在 Kubernetes 中，使用 Token 认证是一种常见的客户端身份验证方式，尤其适用于 ServiceAccount。以下是详细的步骤，包括如何查看 Token、获取 API 服务地址、配置远程连接，以及如何在 Python 中连接 k8s。

1. 获取 Token

首先，您需要创建一个 ServiceAccount 并为其分配适当的角色和权限。以下是一个示例，创建一个名为 admin 的 ServiceAccount 并赋予集群管理员权限：

yaml 复制代码

kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: admin
  annotations:
    rbac.authorization.kubernetes.io/autoupdate: "true"
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: ServiceAccount
  name: admin
  namespace: kube-system

创建完成后，您可以通过以下命令获取 Secret 中的 Token 值：

bash 复制代码

# 获取 admin-token 的 Secret 名字
$ kubectl -n kube-system get secret | grep admin-token

# 获取 Token 的值
$ kubectl -n kube-system describe secret <secret-name>

您也可以使用 jsonpath 的方式直接获取 Token 的值：

bash 复制代码

kubectl -n kube-system get secret <secret-name> -o jsonpath={.data.token}|base64 -d

请注意，Token 值是 base64 编码的，需要解码后使用。

2. 获取 API 服务地址

您可以通过以下命令获取集群的 API 服务器地址：

bash 复制代码

kubectl cluster-info

这将显示 Kubernetes 控制平面的地址，例如 https://k8s-api:6443 。

3. 配置远程连接

如果您需要从集群外部访问 Kubernetes API，您可能需要配置 API 服务器以允许远程访问。这通常涉及到设置防火墙规则、网络策略以及可能的负载均衡器配置。

4. Python 连接 Kubernetes

在 Python 中，您可以使用 Kubernetes 的官方 Python 客户端库 kubernetes 来连接和操作 Kubernetes 集群。以下是如何使用 Token 认证连接 Kubernetes 的步骤：

首先，安装 Kubernetes Python 客户端库：

bash 复制代码

pip install kubernetes

然后，使用以下 Python 代码连接 Kubernetes：

python 复制代码

from kubernetes import client, config

# 定义 Token 和 API 服务器地址
Token = "your_token_here"
APISERVER = "https://your_api_server:6443"

# 创建配置对象
configuration = client.Configuration()
configuration.host = APISERVER
configuration.verify_ssl = False  # 如果您不验证 SSL 证书
configuration.api_key = {"authorization": "Bearer " + Token}

# 使用配置创建 API 对象
api_instance = client.CoreV1Api(client.ApiClient(configuration=configuration))

# 列出所有 Pod
print(api_instance.list_pod_for_all_namespaces())

请确保替换 your_token_here 和 your_api_server:6443 为您的实际 Token 和 API 服务器地址。如果您的集群配置了 SSL 证书验证，您需要设置 configuration.verify_ssl 为 True 并提供 CA 证书路径。

通过以上步骤，您可以使用 Token 认证方案在 Python 中连接和操作 Kubernetes 集群。这种方法适用于需要从集群外部或在集群内部使用 ServiceAccount 进行 API 调用的场景。