基于RBAC的k8s集群权限管控案例

在日常的kubernetes集群维护过程中，常常涉及多团队协作，不同的团队有不同的操作和权限需求。比如，运维团队需要有node的所有操作权限，以便对集群进行节点的扩缩容等日常维护工作，但资产运营团队通常只需要node的查看权限，以便完成资产信息的统计分析即可。当然，在实际的业务场景中，一个团队，到底需要操作什么，允许操作什么，往往比上述例子复杂的多。为了应对实际业务场景中的复杂权限管控诉求，kubernetes提供了基于RBAC的权限管控机制。

接下来，将通过一个实践例子，逐步实现一个权限管理目标：资产运营团队仅能查看node信息，不能查看和操作其他对象。

Step1：创建serviceAccount

创建名为serviceAccount.yaml的文件，内容如下：

apiVersion: v1
kind: ServiceAccount
metadata:name: testnamespace: default

创建并查看serviceAccount：

$ kubectl create -f serviceAccount.yaml
$ kubectl get serviceAccout | grep test

获取serviceAccount的信息：

$ kubectl get serviceAccount test -o yamlapiVersion: v1
kind: ServiceAccount
metadata:creationTimestamp: 2023-12-08T03:13:05Zname: testnamespace: defaultresourceVersion: "99773705"selfLink: /api/v1/namespaces/default/serviceaccounts/testuid: c2db455c-57d4-11ec-b464-848f69e3eeb4
secrets:
- name: test-token-wvmkx

从上述输出的信息中，能够获得其对应的secret名称为test-token-wvmkx。通过secret名称能获得对应的token：

$ kubectl describe secret test-token-wvmkxName:         test-token-wvmkx
Namespace:    default
Labels:       <none>
Annotations:  kubernetes.io/service-account.name=testkubernetes.io/service-account.uid=c2db455c-57d4-11ec-b464-848f69e3eeb4Type:  kubernetes.io/service-account-tokenData
====
ca.crt:     1025 bytes
namespace:  7 bytes
token:      eyJhbGciOiJSUzI1NiIsImtpZCI6IiJ9.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJkZWZhdWx0Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZWNyZXQubmFtZSI6InRlc3QtdG9rZW4td3Zta3giLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC5uYW1lIjoidGVzdCIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VydmljZS1hY2NvdW50LnVpZCI6ImMyZGI0NTVjLTU3ZDQtMTFlYy1iNDY0LTg0OGY2OWUzZWViNCIsInN1YiI6InN5c3RlbTpzZXJ2aWNlYWNjb3VudDpkZWZhdWx0OnRlc3QifQ.cdzShIX7IJj2sLS8h_LNpIRiDF8mXkex7GgPQUUxTbKFZ0cIZbMt5zDpxH4NN4XFqa4U4EY0KT-3OcVDCM7AtVBzR-3QV0qYB1mNf-A95Jec9woAAqkE7MwV61e2Qptb2XoYX8gjzPUX55IALoT69Oueq6QF-Qmv33htobnqM3hJVQPNihGAzK433ptr7qTcIyJ1cpMlV_vJDA8L5AQYJ7dZgsV7klvg16H0-LXzLm13UqzRvDyJ3oqbFSEatPjbSEbdU5GChorDGLw1R2ftjrS7Egojh3YMjPR-WOrwP_9s6EazMo104DO4Yc4Cujm5SmLyzG16XayiWM5mvJey7Q

此时，token已经可以用于dashboard 的登录认证，但是还无法通过授权，因为还没有对serviceAccount进行角色绑定。

Step2：创建ClusterRole

创建名为clusterRole.yaml的文件，内容如下，我们定义了名为node-get的角色，该角色只允许对nodes资源对象进行get和list操作。如果需要对其他的资源对象权限管控，可以在resources字段下进行添加，verbs字段下定义允许的操作类型。

kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:name: node-get
rules:
- apiGroups:- ""resources:- nodesverbs:- get- list

创建clusterRole:

$ kubectl create -f clusterRole.yaml

Step3：ClusterRoleBinding

创建名为clusterRolleBinding.yaml的文件，内容如下。我们绑定了clusterRole和serviceAccount，绑定之后，对应的serviceAccount就拥有了clusterRole中赋予的权限。

kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:name: test-node-get
roleRef:apiGroup: rbac.authorization.k8s.iokind: ClusterRolename: node-get
subjects:
- kind: ServiceAccountname: testnamespace: default
- apiGroup: rbac.authorization.k8s.iokind: Username: test

创建clusterRoleBinding:

$ kubectl create -f clusterRoleBinding.yaml

到此，kubernetes集群服务端的设置完成，可以基于Step1中的token进行dashboard或API的登录认证和授权。但如果用户是通过kubectl进行集群操作的话，我们还需要给用户创建kubeconfig文件，以便用户能够方便使用kubectl工具。

Step4：创建用户认证授权的kubeconfig文件

1、CA认证方式

1.1 生成用户证书

创建文件test.config

[req]
req_extensions     = v3_req
distinguished_name = req_distinguished_name
prompt             = no[req_distinguished_name]
CN = test[ v3_req ]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = TLS Web Client Authentication
subjectAltName = @alt_names[alt_names]
IP.1 = 172.31.96.144
IP.3 = 127.0.0.1
IP.4 = 10.96.0.1

创建证书（备注：客户端的证书必须经过集群CA的签署，否则不会被认可）：

$ openssl genrsa -out test.key 2048
$ openssl req -new -key test.key -out test.csr -config test.config
$ openssl x509 -req -in test.csr -CA /etc/kubernetes/pki/ca.crt -CAkey /etc/kubernetes/pki/ca.key -CAcreateserial -out test.crt -sha256 -days 3650 -extensions v3_req -extfile test.config

1.2 生成kubeconfig文件

设置集群参数：

$ kubectl config set-cluster kubernetes \
--certificate-authority=/etc/kubernetes/pki/ca.crt \
--embed-certs=true \
--server=https://172.31.96.144:6443 \
--kubeconfig=test.kubeconfig

设置客户端认证参数：

$ kubectl config set-credentials test \
--client-certificate=test.crt \
--client-key=test.key \
--embed-certs=true \
--kubeconfig=test.kubeconfig

设置上下文参数：

$ kubectl config set-context kubernetes \
--cluster=kubernetes \
--user=test \
--namespace=default \
--kubeconfig=test.kubeconfig

设置默认上下文：

$ kubectl config use-context kubernetes --kubeconfig=test.kubeconfig

验证：

$ kubectl get node --kubeconfig=test.kubeconfig

2、token认证方式

设置集群参数：

$ kubectl config set-cluster kubernetes \
--certificate-authority=/etc/kubernetes/pki/ca.crt \
--embed-certs=true \
--server=https://172.31.96.144:6443 \
--kubeconfig=test.token

设置客户端认证参数：

$ kubectl config set-credentials test \
--token=eyJhbGciOiJSUzI1NiIsImtpZCI6IiJ9.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJkZWZhdWx0Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZWNyZXQubmFtZSI6InRlc3QtdG9rZW4td3Zta3giLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC5uYW1lIjoidGVzdCIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VydmljZS1hY2NvdW50LnVpZCI6ImMyZGI0NTVjLTU3ZDQtMTFlYy1iNDY0LTg0OGY2OWUzZWViNCIsInN1YiI6InN5c3RlbTpzZXJ2aWNlYWNjb3VudDpkZWZhdWx0OnRlc3QifQ.cdzShIX7IJj2sLS8h_LNpIRiDF8mXkex7GgPQUUxTbKFZ0cIZbMt5zDpxH4NN4XFqa4U4EY0KT-3OcVDCM7AtVBzR-3QV0qYB1mNf-A95Jec9woAAqkE7MwV61e2Qptb2XoYX8gjzPUX55IALoT69Oueq6QF-Qmv33htobnqM3hJVQPNihGAzK433ptr7qTcIyJ1cpMlV_vJDA8L5AQYJ7dZgsV7klvg16H0-LXzLm13UqzRvDyJ3oqbFSEatPjbSEbdU5GChorDGLw1R2ftjrS7Egojh3YMjPR-WOrwP_9s6EazMo104DO4Yc4Cujm5SmLyzG16XayiWM5mvJey7Q \
--kubeconfig=test.token

设置上下文参数：

$ kubectl config set-context kubernetes \
--cluster=kubernetes \
--user=test \
--namespace=default \
--kubeconfig=test.token

设置默认上下文：

$ kubectl config use-context kubernetes --kubeconfig=test.token

验证：

$ kubectl get node --kubeconfig=test.token

Step5：自动化

手动创建kubeconfig文件相对繁琐，一下提供基于token认证方式的自动脚本。

创建文件kubeconfig.sh，内容如下：

#!/bin/sh
set -e
echo "input serviceAccount:"
read serviceAccountif [ "$serviceAccount" == "" ]
thenecho "serviceAccount is empty"exit 1
fiecho "input namespace:"
read namespace
if [ "$namespace" == "" ]
thenecho "namespace is empty"exit 2
fisecretName=$(kubectl get serviceAccount $serviceAccount -n $namespace -o jsonpath='{.secrets[0].name}')
token=$(kubectl get secret $secretName -n $namespace -o jsonpath='{.data.token}' | base64 -d)currentContext=$(kubectl config view -o jsonpath='{.current-context}')
cluster=$(kubectl config view -o jsonpath="{.contexts[?(@.name == \"$currentContext\")].context.cluster}")
apiserver=$(kubectl config view -o jsonpath="{.clusters[?(@.name == \"$cluster\")].cluster.server}")kubectl get secret $secretName -n $namespace -o jsonpath='{.data.ca\.crt}' | base64 -d > ca.crtkubectl config set-cluster kubernetes \
--certificate-authority=ca.crt \
--embed-certs=true \
--server=$apiserver \
--kubeconfig=configkubectl config set-credentials $serviceAccount --token=$token --kubeconfig=configkubectl config set-context kubernetes \
--cluster=kubernetes \
--user=$serviceAccount \
--kubeconfig=configkubectl config use-context kubernetes --kubeconfig=config

根据脚本提示输入serviceAccount的信息，完成config的创建，通过如下命令完成验证：

kubectl get node --kubeconfig=config

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/232735.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

深入探索Git的高级技巧与神奇操作(分支，高效合并)

深入探索Git的高级技巧与神奇操作(分支，高效合并)

欢迎来到我的博客&#xff0c;代码的世界里&#xff0c;每一行都是一个故事 深入探索Git的高级技巧与神奇操作 前言强制推送的妙用1. 什么是强制推送&#xff1f;2. 为什么需要使用强制推送&#xff1f;3. 强制推送的风险与注意事项4. 如何正确、安全地执行强制推送步骤&#x…
阅读更多...
vCenter HA拆分和部署

vCenter HA拆分和部署

原创作者&#xff1a;运维工程师 谢晋 vCenter HA拆分和部署 拆分vCenter HA部署vCenter HA 拆分vCenter HA 客户vCenter HA内一台虚拟机出现故障无法连接&#xff0c;报错如下&#xff1a; 点击移除集群报错如下&#xff1a; 查找官方KB&#xff0c;按照官方KB进行移除…
阅读更多...
PyCharm关闭项目很慢

PyCharm关闭项目很慢

我的版本&#xff1a; PyCharm 2023.2.5 (Professional Edition) 问题&#xff1a; 关闭项目的时候显示一直在关闭项目 &#xff08;单次解决&#xff1a;任务管理器里面杀掉PyCharm&#xff09; 解决方案&#xff1a; 在PyCharm中按下快捷键 CtrlShiftA。 输入Registry或…
阅读更多...
如何同时给每张PPT插入不同的图片？这2种方法可行！

如何同时给每张PPT插入不同的图片？这2种方法可行！

有时候创作PPT&#xff0c;我们需要把几十张图片插入到PowerPoint中&#xff0c;每张图片作为一张幻灯片&#xff0c;如果一张张手动操作&#xff0c;那就未免太花时间了。今天小编来分享2种方法&#xff0c;可以让您快速给每张PPT插入不同图片。 方法一、使用“创建相册” 1.…
阅读更多...
第三方软件验收测试对于软件项目验收的重要性

第三方软件验收测试对于软件项目验收的重要性

软件公司开发出一款软件产品后需要通过一系列的验收测试才能顺利上市&#xff0c;从而被最终用户使用。验收测试是部署软件之前的最后一个测试操作。在软件产品完成了单元测试、集成测试和系统测试之后&#xff0c;产品发布之前所进行的软件测试活动。由于软件企业会将更多的精…
阅读更多...
护肤品类小红书素人达人的推广报价是多少？

护肤品类小红书素人达人的推广报价是多少？

小红书是一款集社交和电商于一体的平台&#xff0c;用户可以在上面分享生活点滴、购物心得、旅游攻略等。近年来&#xff0c;随着护肤美妆市场的不断扩大&#xff0c;越来越多的品牌和商家选择在小红书上投放广告&#xff0c;借助素人达人的影响力为产品引流。那么&#xff0c;…
阅读更多...
某国有银行业务收益提升 30 倍，它究竟是怎么做到的！

某国有银行业务收益提升 30 倍，它究竟是怎么做到的！

在激烈的银行竞争环境下&#xff0c;释放存量客户的复购潜力成为关注的重点。然而&#xff0c;目前银行销售理财产品过程中存在一系列问题&#xff0c;其中一个主要原因是过度依赖理财经理的个人经验。国有银行也难以避免这些问题在目标客户定位和营销执行过程中的出现。 某国…
阅读更多...
Word的兼容性问题很常见，禁用兼容模式虽步不是最有效的，但可以解决兼容性问题

Word的兼容性问题很常见，禁用兼容模式虽步不是最有效的，但可以解决兼容性问题

当你在较新版本的Word应用程序中打开用较旧版本的Word创建的文档时&#xff0c;会出现兼容性问题。错误通常发生在文件名附近&#xff08;兼容模式&#xff09;。兼容性模式问题&#xff08;暂时&#xff09;禁用Word功能&#xff0c;从而限制使用较新版本Word的用户编辑文档。…
阅读更多...
【华为OD题库-098】DNA序列-java

【华为OD题库-098】DNA序列-java

题目 一个DNA序列由A/C/G/T四个字母的排列组合-组成。G和C的比例(定义为GC-Ratio &#xff09;是序列中G和C两个字母的总的出现次数除以总的字母数目(也就是序列长度)。在基因工程中&#xff0c;这个比例非常重要。因为高的GC-Ratio可能是基因的起始点。给定一个很长的DNA序列&…
阅读更多...
腾讯云debian服务器的连接与初始化

腾讯云debian服务器的连接与初始化

目录 1. 远程连接2. 软件下载3. 设置开机自启动 1. 远程连接 腾讯云给的服务器在安装好系统之后&#xff0c;只需要在防火墙里面添加一个白名单&#xff08;ip 或者域名&#xff09;就能访问了。 防火墙添加本机WLAN的IPv4白名单&#xff0c;本地用一个远程工具连接&#xff…
阅读更多...
免费api接口大全分享

免费api接口大全分享

免费api接口大全分享~使用第三方接口开发能大大加速我们的开发速度&#xff01; 短信验证码&#xff1a;可用于登录、注册、找回密码、支付认证等等应用场景。支持三大运营商&#xff0c;3秒可达&#xff0c;99.99&#xff05;到达率&#xff0c;支持大容量高并发。通知短信&a…
阅读更多...
Java第十七章总结

Java第十七章总结

数据库基础 SQL语言 1、select 语句 select 语句用于从数据中检索数据。语法如下&#xff1a; SELECT 搜选字段列表 FROM 数据表名 WHERE 条件表达式 GROUP BY 字段名 HAVING 条件表达式(指定分组的条件) ORDER BY 字段名[ASC|DESC] 2、insert 语句 insert 语句用于向表中插入…
阅读更多...
SpringMVC---获取参数

SpringMVC---获取参数

文章目录 传递单参数传递对象传递多个参数参数重命名传递JSON对象直接从 url 中传递参数 省略变量上传文件获取Cookie获取Header设置Session读取Session 传递单参数 RequestMapping("/name")//1. 传递参数//注&#xff1a;传参的时候一定要传递包装类型而非基础类型…
阅读更多...
动手学深度学习2 安装环境

动手学深度学习2 安装环境

pytorch环境安装 1. windows 环境安装2. mac环境安装3. linux环境安装1. 申请云服务器 链接机器--Ubuntu2. 环境配置 4. 不安装环境直接使用colabQA 课程链接&#xff1a; https://www.bilibili.com/video/BV18p4y1h7Dr?p1&vd_sourceeb04c9a33e87ceba9c9a2e5f09752ef8 1.…
阅读更多...
Pycharm中如何使用Markdown？只需装这个插件！

Pycharm中如何使用Markdown？只需装这个插件！

一、前言 由于Markdown的轻量化、易读易写特性&#xff0c;并且对于图片&#xff0c;图表、数学式都有支持&#xff0c;许多网站都广泛使用Markdown来撰写帮助文档或是用于论坛上发表消息。 如GitHub、Reddit、Diaspora、Stack Exchange、OpenStreetMap 、SourceForge、简书等…
阅读更多...
用ChatGPT辅助写个人性化显示结构体数据的类

用ChatGPT辅助写个人性化显示结构体数据的类

初衷 我们产品有很多状态信息都持久化到文件中，从而数据库意外中断后重启还能知道之前的状态信息。文件中数据是按c struct直接灌进去的，所以我想写个通用类用来漂亮的显示文件内容。 大概如此这般展示： STAT_FILEHD size: 0x258 +0 version=64 +4 filetype=b\x07…
阅读更多...
嵌入式linux面试题分享

嵌入式linux面试题分享

系统相关 以下是一些嵌入式Linux面试题&#xff0c;并附有答案&#xff1a; 题目&#xff1a;什么是嵌入式Linux&#xff1f; 答案&#xff1a;嵌入式Linux是一种针对嵌入式系统的Linux操作系统。它具有轻量级、可定制和可扩展性强的特点&#xff0c;适用于各种嵌入式设备&am…
阅读更多...
spring之基于注解管理Bean

spring之基于注解管理Bean

学习的最大理由是想摆脱平庸&#xff0c;早一天就多一份人生的精彩&#xff1b;迟一天就多一天平庸的困扰。各位小伙伴&#xff0c;如果您&#xff1a; 想系统/深入学习某技术知识点… 一个人摸索学习很难坚持&#xff0c;想组团高效学习… 想写博客但无从下手&#xff0c;急需…
阅读更多...
[每周一更]-(第28期)：Windows服务自启动设置

[每周一更]-(第28期)：Windows服务自启动设置

需求&#xff1a;有时候有些软件&#xff0c;想在开机后自启动&#xff0c;但是由于屏幕需要录入密码&#xff0c;但是普通开机启动的应用&#xff0c;需要在录入密码进去Windows界面才能启动&#xff0c;但是 不用解锁屏幕但需要运行的应用还是有的&#xff0c;比如一些软件远…
阅读更多...
《每天一分钟学习C语言·二》

《每天一分钟学习C语言·二》

1、当使用const关键字变量就无法修改可当常量来用。常量指针不能通过指针来改变变量的值&#xff0c;但可以通过其他引用来改变变量的值常量指针也可以指向其他变量地址&#xff0c;如 int a5,b6; const int *pt &a; *pt6; //错误 a6; //正确 pt&b; //正确指针常量指…
阅读更多...
最新文章

Copyright @ 2022~2023