Kubernetes控制平面组件：API Server Webhook 授权机制 详解

云原生学习路线导航页（持续更新中）

  • kubernetes学习系列快捷链接
    • Kubernetes架构原则和对象设计（一）
    • Kubernetes架构原则和对象设计（二）
    • Kubernetes架构原则和对象设计（三）
    • Kubernetes控制平面组件：etcd（一）
    • Kubernetes控制平面组件：etcd（二）
    • Kubernetes控制平面组件：etcd常用配置参数
    • Kubernetes控制平面组件：etcd高可用集群搭建
    • Kubernetes控制平面组件：etcd高可用解决方案
    • Kubernetes控制平面组件：Kubernetes如何使用etcd
    • Kubernetes控制平面组件：API Server详解（一）
    • Kubernetes控制平面组件：APIServer 基于 X509 证书的认证机制
    • Kubernetes控制平面组件：APIServer 基于 静态Token 的认证机制
    • Kubernetes控制平面组件：APIServer 基于 引导Token 的认证机制
    • Kubernetes控制平面组件：APIServer 基于 ServiceAccount 的认证机制
    • Kubernetes控制平面组件：APIServer 基于 OpenID 的认证机制详解
    • Kubernetes控制平面组件：APIServer 基于 Webhook Toeken令牌 的认证机制详解
    • Kubernetes控制平面组件：APIServer 基于匿名请求的认证机制详解
    • kubectl 和 kubeconfig 基本原理
    • kubeadm 升级 k8s集群 1.17到1.20
    • Kubernetes常见问题解答
    • 查看云机器的一些常用配置

本文主要对kubernetes的控制面组件API Server 授权机制中的 Webhook 授权机制进行详细介绍，涵盖Webhook机制基础概念、设计理念、实现原理、授权流程、参数配置等

  • 希望大家多多 点赞 关注 评论 收藏，作者会更有动力编写技术文章

1.基础概念

1.1.Webhook 机制定义

  • Webhook 是 Kubernetes 的扩展机制之一，允许将授权决策委托给外部 HTTP 服务。
  • 当 API Server 收到资源操作请求时，会将请求转发至预先配置的外部 Webhook 服务进行权限验证，并根据其返回结果决定是否允许该操作。

1.2.核心设计理念

  • 解耦性：将授权逻辑从 Kubernetes 核心组件中剥离，通过外部服务实现灵活的策略管理。
  • 动态策略：无需重启 API Server 即可动态更新授权规则，适应快速变化的业务需求。
  • 多租户支持：结合企业级身份认证系统（如 LDAP、OAuth）实现细粒度权限控制。

1.3.与 RBAC 的区别

  • RBAC：基于角色和静态策略，适用于固定权限模型。
  • Webhook：支持动态、外部化策略，适用于复杂场景（如跨系统鉴权、自定义规则）。

1.4.Webhook认证 与 Webhook授权 异同辨析

  • 相同点：
    • 设计理念相同。认证/授权 均有Webhook的扩展机制，都是允许将当前请求发送到第三方服务进行认证/授权，apiserver 根据返回结果决定是否通过 认证/授权
    • 使用方式类似。都是使用kubeconfig格式指定第三方服务的url、cert等信息，供apiserver与之交互使用
  • 不同点：
    • apiserver配置文件参数不同。在apiserver的参数中需要指定第三方服务的配置文件，认证参数：--authentication-token-webhook-config-file，授权参数：--authorization-webhook-config-file
    • 调用时机不同。在API Server处理链路中，认证在前，授权在后。

1.5.API Server启用webhook授权机制

在这里插入图片描述

  • --authorization-mode=Webhook
  • 使用 Webhook 授权机制需显式启用 authorization.k8s.io/v1beta1 API 扩展组：--runtime-config=authorization.k8s.io/v1beta1=true。

2.实现原理

2.1 核心组件交互

  • API Server：作为请求入口，负责接收客户端请求，在合适时机将请求封装为 SubjectAccessReview 结构转发至 Webhook
  • Webhook 服务：webhook服务，接收apiserver的 SubjectAccessReview 对象，可以自行处理授权，也可以作为代理调用第三方授权服务，将返回结果封装后将allowed 或 denied 返回给apiserver。
  • 第三方授权服务：独立的第三方授权服务，一般为企业独立的授权模块，可以通过webhook代理插入apiserver。

如果 第三方授权服务 本身就可以处理 SubjectAccessReview 请求，那也可以省略中间的webhook代理服务

2.2 请求处理流程

  1. 请求接收：客户端发起 API 请求（如 kubectl create）。
  2. 认证与预检：完成 TLS 握手和身份认证（如 ServiceAccount Token）。
  3. Webhook 匹配：根据资源配置（rules）判断是否触发 Webhook。
  4. 请求转发：API Server 将请求封装为 SubjectAccessReview JSON 对象，通过 HTTPS 发送至 Webhook 代理服务。
  5. 策略决策：Webhook 解析请求属性（用户、资源、操作），执行自定义逻辑（如调用外部权限系统）。
  6. 响应处理：返回 allowed: true/false，若拒绝需附带原因（reason）。

3.参数配置

可以直接看官方文档：https://kubernetes.io/zh-cn/docs/reference/access-authn-authz/webhook/

3.1.配置文件格式

  • Webhook 模式需要一个 HTTP 配置文件，通过 --authorization-webhook-config-file=SOME_FILENAME 的参数声明。
  • 配置文件的格式使用 kubeconfig。 在该文件中，“users” 代表着 API 服务器的 Webhook，而 “cluster” 代表着远程服务。
  • 使用 HTTPS 客户端认证的配置例子：
# Kubernetes API 版本
apiVersion: v1
# API 对象种类
kind: Config
# clusters 代表远程服务
clusters:- name: name-of-remote-authz-servicecluster:# 对远程服务进行身份认证的 CAcertificate-authority: /path/to/ca.pem# 远程服务的查询 URL。必须使用 'https'。不可以包含参数。server: https://authz.example.com/authorize# users 代表 API 服务器的 webhook 配置
users:- name: name-of-api-serveruser:client-certificate: /path/to/cert.pem # 要使用的 webhook 插件的证书client-key: /path/to/key.pem          # 与证书匹配的密钥# kubeconfig 文件必须有 context。需要提供一个给 API 服务器。
current-context: webhook
contexts:
- context:cluster: name-of-remote-authz-serviceuser: name-of-api-servername: webhook

3.2.请求载荷

  • 在做认证决策时，API 服务器会 POST 一个 JSON 序列化的 authorization.k8s.io/v1beta1 SubjectAccessReview 对象来描述这个动作。
  • 这个对象包含了描述用户请求的字段，同时也包含了需要被访问资源或请求特征的具体信息。
// 请求SubjectAccessReview：资源类
{"apiVersion": "authorization.k8s.io/v1beta1","kind": "SubjectAccessReview","spec": {"resourceAttributes": {"namespace": "kittensandponies","verb": "get","group": "unicorn.example.org","resource": "pods"},"user": "jane","group": ["group1","group2"]}
}// 请求SubjectAccessReview：非资源类
{"apiVersion": "authorization.k8s.io/v1beta1","kind": "SubjectAccessReview","spec": {"nonResourceAttributes": {"path": "/debug","verb": "get"},"user": "jane","group": ["group1","group2"]}
}

3.3.请求响应

// 响应：通过授权
{"apiVersion": "authorization.k8s.io/v1beta1","kind": "SubjectAccessReview","status": {"allowed": true}
}// 响应：未通过授权，但未显式拒绝，如果还有其他授权服务，会继续调用
{"apiVersion": "authorization.k8s.io/v1beta1","kind": "SubjectAccessReview","status": {"allowed": false,"reason": "user does not have read access to the namespace"}
}// 响应：未通过授权，并且显式拒绝，如果还有其他授权服务，不会再继续调用
{"apiVersion": "authorization.k8s.io/v1beta1","kind": "SubjectAccessReview","status": {"allowed": false,"denied": true,"reason": "user does not have read access to the namespace"}
}

4.实操案例

  • 可以参考 Kubernetes控制平面组件：APIServer 基于 Webhook Toeken令牌 的认证机制详解 中的实操案例，认证和授权的webhook使用方式基本一致，仅仅是apiserver的配置文件参数不同而已

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/pingmian/77098.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Python自动化办公

Python自动化办公

第五篇：Python自动化办公：10行代码搞定重复性工作 适合读者：职场人士、数据分析师 | 阅读时长：12分钟 引言 每天重复处理Excel、PDF或邮件？Python可以帮你自动化这些枯燥任务，节省90%的时间。本文通过实际…
阅读更多...
【3】k8s集群管理系列--包应用管理器helm之chart资源打包并推送到harbor镜像仓库

【3】k8s集群管理系列--包应用管理器helm之chart资源打包并推送到harbor镜像仓库

一、chart资源打包 helm package ./web-chart # 当前目录会生成一个tgz的压缩文件二、安装help push插件（用于推送前面打包的文件，到镜像仓库） .1 下载help-push二进制文件 wget https://github.com/chartmuseum/helm-push/releases/down…
阅读更多...
【SpringBoot Druid Mysql多数据源整合】

【SpringBoot Druid Mysql多数据源整合】

SpringBoot Druid Mysql多数据源整合 一、背景二、配置结果2.1 SpringBoot java 类配置2.1.1 启动类配置2.1.2 java Config配置 2.2 SpringBoot yml 配置 三、mybatis插件配置3.1 PageHelper的yml配置3.2 mybatis设置自定义字段默认值 四、配置解释 一、背景 公司项目需要连接另…
阅读更多...
GGML源码逐行调试（中）

GGML源码逐行调试（中）

目录 前言1. 简述2. 加载模型超参数3. 加载词汇表4. 初始化计算上下文5. 初始化计算后端6. 创建模型张量7. 分配缓冲区8. 加载模型权重结语下载链接参考 前言 学习 UP 主 比飞鸟贵重的多_HKL 的 GGML源码逐行调试 视频，记录下个人学习笔记，仅供自己参考&…
阅读更多...
kubectl的使用

kubectl的使用

查看集群有多少节点 kubectl get nodes 获取集群状态的摘要信息（组件信息） kubectl get cs 查看所有命名空间下的所有pod的状态和信息 kubectl get pods --all-namespaces 查看所有命名空间的状态和信息 kubectl get namespaces /ns 查看kube-system…
阅读更多...
git在分支上会退到某个指定的commit

git在分支上会退到某个指定的commit

1、在idea上先备份好分支（基于现有分支new branch） 2、在gitlab管理端删除现有分支 3、在idea中大卡terminal，执行 git log 查看commit log ,找到要会退到的commit唯一码，然后执行git reset 唯一码 4、查看本地代码状态 git st…
阅读更多...
动态路由， RIP路由协议，RIPv1，RIPv2

动态路由， RIP路由协议，RIPv1，RIPv2

动态路由 1、回顾 路由：从源主机到目标主机的过程 源主机发送数据给目标主机，源主机会查看自身的路由信息 如果目标主机是自己同网段，源主机查看的是直连路由 如果目标主机和自己不同网段，源主机查看的是静态路由、动态路由、默…
阅读更多...
前端面试-工程化（webpack、vite）

前端面试-工程化（webpack、vite）

Webpack 相关问题（25道） Webpack 的核心概念有哪些？（Entry、Output、Loader、Plugin、Module、Bundle）如何配置 Webpack 的多入口和多出口？Webpack 的 Tree Shaking 实现原理是什么？Loader 和 …
阅读更多...
idea 2024 build菜单不见了

idea 2024 build菜单不见了

Q如题 idea 2024 新版UI添加build和recompile菜单 A如图，右键顶部栏之后，点击Add to Main Toolbar菜单，在里面就能找到Build菜单，添加接口。 Recompile菜单的话在Customize Toolbar中搜索添加才行。
阅读更多...
【开源项目】Excel手撕AI算法深入理解（三）：时序（RNN、mamba）

【开源项目】Excel手撕AI算法深入理解（三）：时序（RNN、mamba）

项目源码地址：https://github.com/ImagineAILab/ai-by-hand-excel.git 一、RNN 1. RNN 的核心思想 RNN 的设计初衷是处理序列数据（如时间序列、文本、语音），其核心特点是： 隐藏状态（Hidden State&#xff…
阅读更多...
pycharm已有python3.7，如何新增Run Configurations中的Python interpreter为python 3.9

pycharm已有python3.7，如何新增Run Configurations中的Python interpreter为python 3.9

在 PyCharm 中，如果你已经安装了 Python 3.9，并且希望在 Run Configurations 中新增一个 Python 3.9 的解释器，可以按照以下步骤操作： 步骤 1：打开 PyCharm 设置 点击 PyCharm 左上角的 File 菜单。选择 Settings&am…
阅读更多...
【H桥电机驱动电路原理】-学习笔记

【H桥电机驱动电路原理】-学习笔记

工作原理 电路分析 这是一个由晶体管构成的 H 桥电机驱动电路 ，以下是对其各部分的介绍： 核心器件 晶体管：电路中使用了 PNP 型的 SS8550（Q5、Q6 ）和 NPN 型的 SS8050（Q9、Q10、Q13、Q14 ）。…
阅读更多...
【家政平台开发(49)】解锁家政平台上线密码：服务器选型与配置全攻略

【家政平台开发(49)】解锁家政平台上线密码：服务器选型与配置全攻略

本【家政平台开发】专栏聚焦家政平台从 0 到 1 的全流程打造。从前期需求分析，剖析家政行业现状、挖掘用户需求与梳理功能要点，到系统设计阶段的架构选型、数据库构建，再到开发阶段各模块逐一实现。涵盖移动与 PC 端设计、接口开发及性能优化，测试阶段多维度保障平台质量，…
阅读更多...
驱动开发硬核特训 · Day 10 （理论上篇）：设备模型 ≈ 运行时的适配器机制

驱动开发硬核特训 · Day 10 （理论上篇）：设备模型 ≈ 运行时的适配器机制

🔍 B站相应的视屏教程： 📌 内核：博文视频 - 总线驱动模型实战全解析 敬请关注，记得标为原始粉丝。 在 Linux 驱动开发中，设备模型（Device Model）是理解驱动架构的核心。而从软件工程…
阅读更多...
arm_math.h、arm_const_structs.h 和 arm_common_tables.h

arm_math.h、arm_const_structs.h 和 arm_common_tables.h

在 ​​FOC（Field-Oriented Control，磁场定向控制）​​ 中，arm_math.h、arm_const_structs.h 和 arm_common_tables.h 是 CMSIS-DSP 库的核心组件，用于实现高效的数学运算、预定义结构和查表操作。以下是它们在 FOC 控…
阅读更多...
Android: gradient 使用

Android: gradient 使用

在 Android 中使用 gradient（渐变） 通常是通过 drawable 文件来设置背景。下面是可以直接用的几种用法汇总，包括线性渐变、径向渐变、扫描渐变（sweep）等： ✅ 1. Linear Gradient（线性渐变&#…
阅读更多...
打造AI应用基础设施：Milvus向量数据库部署与运维

打造AI应用基础设施：Milvus向量数据库部署与运维

目录 打造AI应用基础设施：Milvus向量数据库部署与运维1. Milvus介绍1.1 什么是向量数据库？1.2 Milvus主要特点 2. Milvus部署方案对比2.1 Milvus Lite2.2 Milvus Standalone2.3 Milvus Distributed2.4 部署方案对比表 3. Milvus部署操作命令实战3.1 Milv…
阅读更多...
AI Agent 在医疗健康领域的深度应用剖析

AI Agent 在医疗健康领域的深度应用剖析

引言 随着人工智能技术的迅猛发展，AI Agent 在医疗健康领域展现出了巨大的应用潜力。它犹如一位智能助手，凭借其强大的数据处理和分析能力，渗透到医疗健康的各个环节，从疾病诊断、治疗方案制定到患者康复监控，都发挥着…
阅读更多...
树莓派超全系列教程文档--(28)boot文件夹内容

树莓派超全系列教程文档--(28)boot文件夹内容

boot文件夹内容 boot 文件夹内容bootcode.binstart*.elffixup*.datcmdline.txtconfig.txtissue.txtinitramfs*ssh 或 ssh.txt设备树blob文件 ( *.dtb )内核文件 ( *.img )overlays 文件夹 文章来源： http://raspberry.dns8844.cn/documentation 原文网址 boot 文件…
阅读更多...
SvelteKit 最新中文文档教程（20）—— 最佳实践之性能

SvelteKit 最新中文文档教程（20）—— 最佳实践之性能

前言 Svelte，一个语法简洁、入门容易，面向未来的前端框架。 从 Svelte 诞生之初，就备受开发者的喜爱，根据统计，从 2019 年到 2024 年，连续 6 年一直是开发者最感兴趣的前端框架 No.1： Svelte …
阅读更多...
最新文章

Copyright @ 2022~2023