k8s中的认证授权

一、kubernetes API 访问控制

1.1 UserAccount与ServiceAccount

1.1.1 ServiceAccount

1.1.2 ServiceAccount示例

二、认证(在k8s中建立认证用户)

2.1 创建UserAccount

2.2 RBAC（Role Based Access Control）

2.2.1 基于角色访问控制授权：

2.2.2 role授权实施

2.2.3 clusterrole授权实施

2.2.4 服务账户的自动化

一、kubernetes API 访问控制

Authentication（认证）

认证方式现共有8种，可以启用一种或多种认证方式，只要有一种认证方式通过，就不再进行其它方式的认证。通常启用X509 Client Certs和Service Accout Tokens两种认证方式。
Kubernetes集群有两类用户：由Kubernetes管理的Service Accounts （服务账户）和（Users Accounts）普通账户。k8s中账号的概念不是我们理解的账号，它并不真的存在，它只是形式上存在。

Authorization（授权）

必须经过认证阶段，才到授权请求，根据所有授权策略匹配请求资源属性，决定允许或拒绝请求。授权方式现共有6种，AlwaysDeny、AlwaysAllow、ABAC、RBAC、Webhook、Node。默认集群强制开启RBAC。

Admission Control（准入控制）

用于拦截请求的一种方式，运行在认证、授权之后，是权限认证链上的最后一环，对请求API资源对象进行修改和校验。

1.1 UserAccount与ServiceAccount

用户账户是针对人而言的。服务账户是针对运行在 pod 中的进程而言的。
用户账户是全局性的。其名称在集群各 namespace 中都是全局唯一的，未来的用户资源不会做 namespace 隔离，服务账户是 namespace 隔离的。
集群的用户账户可能会从企业数据库进行同步，其创建需要特殊权限，并且涉及到复杂的业务流程。服务账户创建的目的是为了更轻量，允许集群用户为了具体的任务创建服务账户 ( 即权限最小化原则 )。

1.1.1 ServiceAccount

服务账户控制器（Service account controller）
- 服务账户管理器管理各命名空间下的服务账户
- 每个活跃的命名空间下存在一个名为 “default” 的服务账户
服务账户准入控制器（Service account admission controller）
- 相似pod中 ServiceAccount默认设为 default。
- 保证 pod 所关联的 ServiceAccount 存在，否则拒绝该 pod。
- 如果pod不包含ImagePullSecrets设置那么ServiceAccount中的ImagePullSecrets 被添加到pod中
- 将挂载于 /var/run/secrets/kubernetes.io/serviceaccount 的 volumeSource 添加到 pod 下的每个容器中
- 将一个包含用于 API 访问的 token 的 volume 添加到 pod 中

1.1.2 ServiceAccount示例

建立名字为admin的ServiceAccount

[root@k8s-master ~]# kubectl create sa xiaoding
serviceaccount/xiaoding created
[root@k8s-master ~]# kubectl describe sa xiaoding
Name:                xiaoding
Namespace:           default
Labels:              <none>
Annotations:         <none>
Image pull secrets:  <none>
Mountable secrets:   <none>
Tokens:              <none>
Events:              <none>
[root@k8s-master ~]#

建立secrets

[root@k8s-master ~]# kubectl create secret docker-registry docker-login --docker-username admin --docker-password 123456 --docker-server reg.timingding.org --docker-email ding@timingding.org
secret/docker-login created
[root@k8s-master ~]#[root@k8s-master ~]# kubectl get secrets 
NAME             TYPE                             DATA   AGE
auth-web         Opaque                           1      18h
docker-login     kubernetes.io/dockerconfigjson   1      81s
my-docker-auth   kubernetes.io/dockerconfigjson   1      16h
userlist         Opaque                           4      16h
web-tls-secret   kubernetes.io/tls                2      18h
[root@k8s-master ~]# kubectl describe secrets docker-login 
Name:         docker-login
Namespace:    default
Labels:       <none>
Annotations:  <none>Type:  kubernetes.io/dockerconfigjsonData
====
.dockerconfigjson:  129 bytes
[root@k8s-master ~]#

将secrets注入到sa中

也可以直接指定到默认的default认证服务中[root@k8s-master ~]# kubectl edit sa xiaodingapiVersion: v1
imagePullSecrets:
- name: docker-login	#添加这个，让它读取我们创建的secrets的资源
kind: ServiceAccount
metadata:creationTimestamp: "2024-09-10T08:07:01Z"name: xiaodingnamespace: defaultresourceVersion: "123878"uid: ba37d6ca-ecd7-4526-b957-b439c5e139c1[root@k8s-master ~]# kubectl describe sa xiaoding
Name:                xiaoding
Namespace:           default
Labels:              <none>
Annotations:         <none>
Image pull secrets:  docker-login		#注入资源了
Mountable secrets:   <none>
Tokens:              <none>
Events:              <none>
[root@k8s-master ~]#

测试，拉取私有仓库中私有的镜像

没有注sa认证的default：
[root@k8s-master ~]# kubectl run testpod --image reg.timingding.org/ding/nginx 
pod/testpod created镜像拉取不到：
[root@k8s-master ~]# kubectl get pods
NAME      READY   STATUS             RESTARTS   AGE
testpod   0/1     ImagePullBackOff   0          8s给default注入sa：
[root@k8s-master ~]# kubectl edit sa default 
apiVersion: v1
imagePullSecrets:		#添加创建的sa认证
- name: docker-login
kind: ServiceAccount
metadata:creationTimestamp: "2024-09-09T02:34:53Z"name: defaultnamespace: defaultresourceVersion: "125663"uid: 4806e111-b158-4e0b-8b6f-efdc8b0f939c再次去拉取镜像使用：
[root@k8s-master ~]# kubectl run testpod --image reg.timingding.org/ding/nginx 
pod/testpod created此时就可以拉取，并使用了：
[root@k8s-master ~]# kubectl get pods
NAME      READY   STATUS    RESTARTS   AGE
testpod   1/1     Running   0          4s取消认证之后又会拉取不到也可以在yaml文件中设定：
[root@k8s-master ~]# vim example1.yml
apiVersion: v1
kind: Pod
metadata:name: testpod
spec:serviceAccountName: xiaodingcontainers:- image: reg.timingding.org/ding/nginx:latestname: testpod[root@k8s-master ~]# kubectl apply -f example1.yml
pod/testpod created
[root@k8s-master auth]# kubectl get pods
NAME      READY   STATUS    RESTARTS   AGE
testpod   1/1     Running   0          2s这样也是可以的