配置kubectl客户端通过token方式访问kube-apiserver

墨蓝 2022-03-20 02:28 326阅读 0赞

# 帮助文档 #

## 使用的变量 ##

本文档用到的变量定义如下：

$ export MASTER_IP=XX.XX.XX.XX # 替换为 kubernetes master VIP
    $ export KUBE_APISERVER="https://${MASTER_IP}:6443"
    $

## 创建 kubectl config 文件 ##

$ # 设置集群参数
    $ kubectl config set-cluster kubernetes \
      --insecure-skip-tls-verify=true \
      --server=${KUBE_APISERVER} 
    $ # 设置客户端认证参数
    $ kubectl config set-credentials crd-admin \
     --token=7176d48e4e66ddb3557a82f2dd316a93 
    $ # 设置上下文参数
    $ kubectl config set-context kubernetes \
      --cluster=kubernetes \
      --user=crd-admin  \
      --namespace=crd 
    $ # 设置默认上下文
    $ kubectl config use-context kubernetes

*  使用命令 head -c 16 /dev/urandom | od -An -t x | tr -d ' ' 生成token

## kube-apiserver设置 ##

### 添加kube-apiserver端token证书 ###

$ cat > /etc/kubernetes/pki/token_auth_file<<EOF
    7176d48e4e66ddb3557a82f2dd316a93,crd-admin,1
     EOF

*  第一列为刚刚生成的token，要与config里的token一致
 *  第二列为user， 要与config里的use一致
 *  编号或是序列号

### 添加kube-spiserver启动参数 --token-auth-file=/etc/kubernetes/pki/token\_auth\_file ###

*  注意地址
 *  需要重启kube-apiserver
 *  证书验证和token和同时启用的，但是token和用户名密码，不可同时启用

## 配置客户端RBAC相关 ##

限制 crd-admin 用户的行为，需要使用 RBAC 将该用户的行为限制在crd namespace 空间范围内

kubectl create -f crd-rbac.yaml

这样 crd-admin 用户对 crd namespace 具有完全访问权限。

crd-rbac.yaml具体内容：

apiVersion: rbac.authorization.k8s.io/v1
    kind: RoleBinding
    metadata:
      name: crdadmin-admin-binding
      namespace: crd
    roleRef:
      apiGroup: rbac.authorization.k8s.io
      kind: ClusterRole
      name: admin
    subjects:
    - apiGroup: rbac.authorization.k8s.io
      kind: User
      name: crd-admin