k8s权限管理

野性酷女 2022-05-20 08:45 229阅读 0赞

K8s的用户和权限管理包括两个方面：认证和授权。认证解决用户是谁的问题，授权解决用户能做什么的问题。通过合理的权限管理，能够保证系统的安全可靠。

K8s的认证包含以下3种方式。这3种方式可以同时存在，认证时只按一种即可。

**证书认证**

设置apiserver的启动参数：\--client\_ca\_file=SOMEFILE。

**Token认证**

设置apiserver的启动参数：\--token\_auth\_file=SOMEFILE。

**基本信息认证**

设置apiserver的启动参数：\--basic\_auth\_file=SOMEFILE。

1. 用户分类

K8s的用户分两种，一种是普通用户，一种是ServiceAccount（服务账户）。

1.1普通用户是假定被外部或独立服务管理的。管理员分配私钥。平时常用的kubectl命令都是普通用户执行的。

1.2ServiceAccount（服务帐户）是由Kubernetes API管理的用户。它们绑定到特定的命名空间，并由API服务器自动创建或通过API调用手动创建。服务帐户与存储为Secrets的一组证书相关联，这些凭据被挂载到pod中，以便集群进程与Kubernetes API通信。（登录dashboard时我们使用的就是ServiceAccount）

2. 普通用户的创建和查看及授权

普通用户并不是通过k8s来创建和维护，是通过创建证书和切换上下文环境的方式来创建和切换用户。

创建用户证书

创建devuser-csr.json文件：

k8s的用户名就是从CN上获取的。组是从O上获取的。这个用户或者组用于后面的角色绑定使用

cat > devuser-csr.json <<EOF

"CN": "devuser",

"hosts": \[\],

"key": \{

"algo": "rsa",

"size": 2048

\},

"names": \[

"C": "CN",

"ST": "BeiJing",

"L": "BeiJing",

"O": "k8s",

"OU": "System"

EOF

接下来生成user的证书：

$ cfssl gencert -ca=ca.crt -ca-key=ca.key -config=ca-config.json -profile=kubernetes devuser-csr.json | cfssljson -bare devuser

就会生成下面的文件：

devuser.csr devuser-key.pem devuser.pem

校验证书

\# cfssl-certinfo -cert kubernetes.pem

生成config文件

kubeadm已经生成了admin.conf，我们拷贝过来这个文件，这样生成的配置文件会将admin用户的信息也保存下来

$ cp /etc/kubernetes/admin.conf devuser.kubeconfig

设置客户端认证参数:

kubectl config set-credentials devuser \\

\--client-certificate=/root/ssl/devuser.pem \\

\--client-key=/root/ssl/devuser-key.pem \\

\--embed-certs=true \\

\--kubeconfig=devuser.kubeconfig

设置上下文参数：

kubectl config set-context kubernetes \\

\--cluster=kubernetes \\

\--user=devuser \\

\--namespace=kube-system \\

\--kubeconfig=devuser.kubeconfig

创建角色

创建一个叫pod-reader的角色

\[root@master1 ~\]\# cat  pod-reader.yaml

kind: Role

apiVersion: rbac.authorization.k8s.io/v1

metadata:

namespace: kube-system

rules:

\- apiGroups: \[""\] \# "" indicates the core API group

resources: \["pods"\]

verbs: \["get", "watch", "list"\]

kubectl create -f pod-reader.yaml

绑定用户

创建一个角色绑定，把pod-reader角色绑定到 devuser上

\[root@master1 ~\]\# cat devuser-role-bind.yaml

kind: RoleBinding

apiVersion: rbac.authorization.k8s.io/v1

metadata:

namespace: kube-system

subjects:

\- kind: User

apiGroup: rbac.authorization.k8s.io

roleRef:

kind: Role

apiGroup: rbac.authorization.k8s.io

kubectl create -f devuser-role-bind.yaml

设置当前用户环境为新建的用户devuser

kubectl config use-context  kubernetes  --kubeconfig=devuser.kubeconfig

使用新的config文件

rm $HOME/.kube/config && cp devuser.kubeconfig $HOME/.kube/config

发现已经没有别的namespace的权限了，也不能访问node信息了：

![70][]

![70 1][]

查看配置文件中包含的用户：

![70 2][]

3.服务用户的创建和授权

服务账户的用户信息数据是由k8s来管理和维护的的。service account是给进程用的，让进程有相关的权限。如dasboard就是一个进程，我们就可以创建一个service account给它，让它去访问k8s。Service Account它并不是给kubernetes集群的用户使用的，而是给pod里面的进程使用的，它为pod提供必要的身份认证。

查看所有的service account

![70 3][]

新增一个新的用户cnych

该用户只能对命名空间kube-system下面的pods和deployments进行管理

第一步新建一个ServiceAccount：

$ kubectl create sa cnych -n kube-system

然后我们新建一个角色role-cnych：(role.yaml)

kind: Role

apiVersion: rbac.authorization.k8s.io/v1

metadata:

namespace: kube-system

rules:

\- apiGroups: \[""\]

resources: \["pods"\]

verbs: \["get", "watch", "list"\]

\- apiGroups: \["extensions", "apps"\]

resources: \["deployments"\]

verbs: \["get", "list", "watch", "create", "update", "patch", "delete"\]

注意上面的rules规则：管理pods和deployments的权限。

然后我们创建一个角色绑定，将上面的角色role-cnych绑定到cnych的ServiceAccount上：(role-bind.yaml)

kind: RoleBinding

apiVersion: rbac.authorization.k8s.io/v1

metadata:

namespace: kube-system

subjects:

\- kind: ServiceAccount

namespace: kube-system

roleRef:

kind: Role

apiGroup: rbac.authorization.k8s.io

分别执行上面两个yaml文件：

$ kubect create -f role.yaml

$ kubect create -f role-bind.yaml

![70 4][]

这样ServiceAccount cnych就创建好了，并授予了权限。

查看token名称

kubectl  get  secret -n kube-system

获取token

kubectl describe secret/\{token\_name\} -n kube-system

![70 5][]

这样就可以使用查找到的token登录dashboard了

![70 6][]

[70]: /images/20220520/e5a5acdeb4c34f11b67d37ee2749864c.png
[70 1]: /images/20220520/1e8705c0dd204e18a88c561514c837ce.png
[70 2]: /images/20220520/6653617512b84aa683c47431b3f42c78.png
[70 3]: /images/20220520/4206411d42fd40c9bf6e95bff66d68da.png
[70 4]: /images/20220520/b8973b504c38446aa97e22d5a0b91436.png
[70 5]: /images/20220520/5d6e78443a9d4f599d5b1f444c4e13fc.png
[70 6]: /images/20220520/4e6e3538cb5a4f58914c54c84e4b5173.png