kubernetes API 访问控制

原理

Authentication(认证)
• 认证有八种方式,可以用一种或者多种认证方式,如果有一种认证方式通过,就不再
进行其它方式的认证。一般启用X509 Client Certs和Service Accout Tokens两种认证方式。
• Kubernetes集群有2种用户:由Kubernetes管理的Service Accounts (服务账户)和(Users Accounts) 普通账户。k8s中账号与我们所理解的账号不同,它并不是真实存在,它只是形式上存在。
• Authorization(授权)
• 必须经过认证阶段,才到授权请求,根据所有授权策略匹配请求资源属性,决定允许或拒绝请求。授权方式现共有6种,AlwaysDeny、AlwaysAllow、ABAC、RBAC、
Webhook、Node。默认集群强制开启RBAC。
• Admission Control(准入控制)
• 用于拦截请求的一种方式,运行在认证、授权之后,是权限认证链上的最后一环,对请求
访问k8s的API Server的客户端主要分为两类:
• kubectl :用户家目录中的 .kube/config 里面保存了客户端访问API Server的密钥相关
信息,这样当用kubectl访问k8s时,它就会自动读取该配置文件,向API Server发起认
证,然后完成操作请求。
• pod:Pod中的进程需要访问API Server,如果是人去访问或编写的脚本去访问,这类访
问使用的账号为:UserAccount;而Pod自身去连接API Server时,使用的账号是:
ServiceAccount,生产中后者使用居多。

• kubectl向apiserver发起的命令,采用的是http方式,其实就是对URL发起增删改查的操作。
• $ kubectl proxy --port=8888 &
• $ curl http://localhost:8888/api/v1/namespaces/default
• $ curl http://localhost:8888/apis/apps/v1/namespaces/default/deployments
• 以上两种api的区别是:
• api它是一个特殊链接,只有在核心v1群组中的对象才能使用。
• apis 它是一般API访问的入口固定格式名。
• UserAccount与serviceaccount:
• 用户账户是针对人而言的。 服务账户是针对运行在 pod 中的进程而言的。
• 用户账户是全局性的。 其名称在集群各 namespace 中都是全局唯一的,未来的用户资源
不会做 namespace 隔离, 服务账户是 namespace 隔离的。
• 通常情况下,集群的用户账户可能会从企业数据库进行同步,其创建需要特殊权限,并且涉
及到复杂的业务流程。 服务账户创建的目的是为了更轻量,允许集群用户为了具体的任务
创建服务账户 ( 即权限最小化原则 )。

[root@server2 statefulset]# kubectl get pod -n kube-system 
NAME                              READY   STATUS    RESTARTS   AGE
coredns-7777df944c-4ls4d          1/1     Running   3          9d
coredns-7777df944c-gwxzq          1/1     Running   3          9d
etcd-server2                      1/1     Running   3          9d
kube-apiserver-server2            1/1     Running   3          9d
kube-controller-manager-server2   1/1     Running   4          9d
kube-flannel-ds-c4zbw             1/1     Running   0          40h
kube-flannel-ds-mpnj2             1/1     Running   0          40h
kube-flannel-ds-pmpwk             1/1     Running   0          40h
kube-proxy-7fvhx                  1/1     Running   0          3d19h
kube-proxy-qsk7n                  1/1     Running   0          3d19h
kube-proxy-vvglf                  1/1     Running   0          3d19h
kube-scheduler-server2            1/1     Running   4          9d

[root@server2 statefulset]# kubectl run demo --image=nginx -it --restart=Never --rm=true -- bash
If you don't see a command prompt, try pressing enter.
root@demo:/# ls
bin   docker-entrypoint.d   home   media  proc	sbin  tmp
boot  docker-entrypoint.sh  lib    mnt	  root	srv   usr
dev   etc		    lib64  opt	  run	sys   var
root@demo:/# cd etc/nginx/
root@demo:/etc/nginx# ls
conf.d		koi-utf  mime.types  nginx.conf   uwsgi_params
fastcgi_params	koi-win  modules     scgi_params  win-utf
root@demo:/etc/nginx# cat nginx.conf 

user  nginx;
worker_processes  1;

error_log  /var/log/nginx/error.log warn;
pid        /var/run/nginx.pid;


events {
    worker_connections  1024;
}


http {
    include       /etc/nginx/mime.types;
    default_type  application/octet-stream;

    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';

    access_log  /var/log/nginx/access.log  main;

    sendfile        on;
    #tcp_nopush     on;

    keepalive_timeout  65;

    #gzip  on;

    include /etc/nginx/conf.d/*.conf;
}

[root@server2 ~]# kubectl proxy --port=8888 &
[1] 20564
[root@server2 ~]# Starting to serve on 127.0.0.1:8888

[root@server2 ~]# netstat -antlp| grep :8888
tcp        0      0 127.0.0.1:8888          0.0.0.0:*               LISTEN      20564/kubectl       
[root@server2 ~]# curl http://localhost:8888/api/v1/namespaces/default
{
   
    
  "kind": "Namespace",
  "apiVersion": "v1",
  "metadata": {
   
    
    "name": "default",
    "uid": "2fe0e537-f115-44cf-810c-2a2d5cd0c62d",
    "resourceVersion": "210",
    "creationTimestamp": "2021-07-24T10:19:16Z",
    "labels": {
   
    
      "kubernetes.io/metadata.name": "default"
    },
    "managedFields": [
      {
   
    
        "manager": "kube-apiserver",
        "operation": "Update",
        "apiVersion": "v1",
        "time": "2021-07-24T10:19:16Z",
        "fieldsType": "FieldsV1",
        "fieldsV1": {
   
    "f:metadata":{
   
    "f:labels":{
   
    ".":{
   
    },"f:kubernetes.io/metadata.name":{
   
    }}}}
      }
    ]
  },
  "spec": {
   
    
    "finalizers": [