重庆分公司,新征程启航

为企业提供网站建设、域名注册、服务器等服务

kubernetes基于角色授权

网上很少有地方涉及到在角色授权时,如何对User Group授权。我们都知道在做角色绑定的时候,会有kind: User,kind: Group,但是实际上,Kubernetes并没有提供User、Group资源创建接口,那这两个怎么使用呢?下面以一个实例来说明一下

创新互联专注于企业成都营销网站建设、网站重做改版、晋宁网站定制设计、自适应品牌网站建设、HTML5建站商城建设、集团公司官网建设、外贸网站建设、高端网站制作、响应式网页设计等建站业务,价格优惠性价比高,为晋宁等各大城市提供网站开发制作服务。

前提条件:kube-apiserver必须是运行在安全端口模式下,这里基于CA根证书签名的双向数字证书认证方式。

1、先创建Role

role-demo.yaml 内容如下:

apiVersion: rbac.authorization.k8s.io/v1

kind: Role

metadata:

  name: pods-reader

  namespace: default

rules:

- apiGroups:

  - ""

  resources:

  - pods

  verbs:

  - get

  - list

  - watch

2、绑定角色,将权限授予到真正角色上

编辑rolebinding-demo.yaml

apiVersion: rbac.authorization.k8s.io/v1

kind: RoleBinding

metadata:

    creationTimestamp: null

    name: kubelet-read-pods

roleRef:

    apiGroup: rbac.authorization.k8s.io

    kind: Role

    name: pods-reader

subjects:

- apiGroup: rbac.authorization.k8s.io

    kind: Group

    name: app1

这里将赋予组app1只能查看namespace为default的pod权限。Kind也可以为user。

3、创建用户和组

现在就可以创建用户和组,CA的方式通过openssl就可以做到

3.1创建用户jbeda,并同时属于组app1、app2

openssl    genrsa -out jbeda.key 2048

openssl req -new -key jbeda.key -out jbeda.csr -subj "/CN=jbeda/O=app1/O=app2"

openssl x509 -req -in jbeda.csr -CA   ca.crt -CAkey ca.key -CAcreateserial -out jbeda.crt -days 365

将 jbeda.key、jbeda.crt 复制到/etc/kubernetes/ssl/目录下

l jbeda/O=app1/O=app2 这个代表创建了用户jbeda,且该用户属于组app1、app2

l ca.crt ca.key是根证书,这个是为kube-apiserver创建的,所有的客户端都是利用它签名的。这里不重复它的创建过程。

3.2测试权限

Ø 配置使用的调用接口使用的角色

这里使用kubectl,编译~/.kube/config

apiVersion: v1

kind: Config

clusters:

  -   cluster:

       server: https://10.8.8.27:6443

       certificate-authority: /etc/kubernetes/ssl/ca.crt

      name: local

users:

 -   name: jbeda

     user:

       client-certificate : /etc/kubernetes/ssl/jbeda.crt

       client-key: /etc/kubernetes/ssl/jbeda.key

contexts:

  -   context:

        cluster: local

        user: jbeda

      name: local

current-context: local

Ø 查看pod

kubernetes基于角色授权

查看kubectl当前使用的config

kubernetes基于角色授权

可以看到只能查看namespace为default下的pod信息

RBAC还可以用service account的方式认证,网上有太多资料,这里不多做介绍。


文章标题:kubernetes基于角色授权
分享URL:http://cqcxhl.com/article/jecshi.html

其他资讯

在线咨询
服务热线
服务热线:028-86922220
TOP