k8s---安全机制

k8s的安全机制，分布式集群管理工具，就是容器编排。安全机制的核心：APIserver。为整个集群内部通信的中介，也是外控控制的入口。所有的机制都是围绕apiserver来进行设计：

请求api资源：

1、认证

2、鉴权

3、准入机制

三个条件都通过，才可以在k8s集群当中创建。

认证

认证：Authentcation

HTTP TOKEN：通过token识别合法用户。tocken是一个很长很复杂的字符串，字符串是用来表达客户的一种方1、式。每一个token对应一个用户名，用户名存储在apiserver能够访问的文件中。

客户端发起请求时，http heard包含token

客户端发起请求---------------token-------------apiserver（用户存储文件）--------------解码--------------用户名--------------访问集群。

2、http base：用户+密码的验证方式。用户和密码都是通过base64进行加密，加密完成的字符串，http request的headr Authorization发送给服务端。服务端收到加密字符串，解码，获取用户名和密码，验证通过，登录成功。

3、https证书：最严重的方式，也是最严谨的方式，基于CA根证书签名的用户端身份进行验证。

认证的访问类型：

k8s组件对api server组件的访问：kubelet kube-proxy

pod对APl server的访问。pod coredns、dashboard都是pod，也需要访问api

客户端访问、kubectl访问

kubelet kube-proxy controller manager sheduler 与apiserver在一台服务器，可以直接使用api server的非安全端口访问。

kubectl kubelet kube-proxy 都是通过apiserver的https证书，进行双向验证，都是用6443端口进行验证。

签发证书的方式

1、手动签发：二进制部署就是手动签发，CA签发----把证书匹配到每个对应组件，然后访问6443即可

2、自动签发：kubeadm，kubelet第一次访问api server使用token，token通过之后，controller manager会为kubelet生成一个证书以后都是通过证书访问。kubeadm修改了证书的有效期，默认1年。

3、kubeconfig文件包含集群的参数，CA证书，APIserver地址，客户端的证书（客户端的证书和私钥），集群的名称和用户名。

k8s组件通过启动时指定访问不同的kubeconfig，可以访问不同的集群--------apiserver-----------namespace--------资源对象------pod--------容器

kubeconfig既是集群的描述文件，也是一个集群信息的保存文件，包含了集群的访问方式和认证信息

~/.kube/config 保存的时kubectl的访问认证信息

4、serviceAccount：就是为了方便pod中的容器访问apiserver。pod的一切动作（增删查改）动态的，每个pod需要手动生成一个证书，使用serviceAccount来进行循环认证，service Account 里面包含了统一的认证信息，直接进行api server访问。

5、secret：保存资源对象、保存的是自定义的保密信息。

serviceAccount保存的是token service-account-token

serviceAccount的组成部分

1、token

2、ca.crt

3、namespace

这三个部分都会被自动挂载到pod当中

认证

鉴权：之前的认证过程只是确认了双方都是可信的。可以互相通信。健全是为了确定请求方的访问权限。

能做哪些指定的操作。这些操作都是由鉴权来决定的。

通俗来讲：能做那些操作。

鉴权的策略

1、AlwayDeny：拒绝所有，一般测试

2、AlwaysAllow：允许所有，应用测试

3、ABAC attribute-based access control 基于属性的访问控制

4、webhook：外部访问集群内部的的鉴权方式

5、RBAC role-based access control 基于角色的控制访问控制，也是k8s现在默认的规则机制。

角色：

role： 指定密码空间的资源控制限制

rolebind：将角色绑定到指定的命名空间

集群

clusterrole：可以授权所有命名空问的资源控制权限

clusterrolebinding：将集群的角色绑定到命名空间

准入控制：

准入控制是apiserver的一个准入控制器的插件列表，不同的插件可以实现不同的准入控制机制。

一般情况下，建议使用官方默认的准入控制器 limitRanger（命名空间的配额管理）、serviceAccount、resourceQuota（命名空间的配额限制）都属于准入控制器。

3、实验，实现不同用户管理自己的命名空间

实验举例

实验目的：实现不同用户管理自己的命名空间

认证--->---鉴权--->---准入机制

命名空间： lucky-cloud

上传证书文件并赋权

useradd lucky
passwd lucky
#创建一个用户
 
mkdir lucky
cd /usr/local/bin/
chmod +x cfssl*
 
vim user-cert.sh
cat > lucky-csr.json <<EOF
{
 "CN": "lucky",
 "hosts": [],
 "key": {
   "algo": "rsa",
   "size": 2048
},
 "names": [
  {
   "C": "CN",
   "ST": "Nanjing",
   "O": "k8s",
   "OU": "system"
   }
  ]
}
  EOF
 
chmod +x user-cert.sh
./user-cert.sh
 
cd /etc/kubernetes/pki/
cfssl gencert -ca=ca.crt -ca-key=ca.key -profile=kubernetes /opt/lucky/lucky-csr.json | cfssljson -bare lucky
#基于设定的信息，创建一个认证证书

cd /opt/lucky
 
vim rbac-kubeconfig.sh
APISERVER=$1
# 设置集群参数
export KUBE_APISERVER="https://$APISERVER:6443"
kubectl config set-cluster kubernetes \
  --certificate-authority=/etc/kubernetes/pki/ca.crt \
  --embed-certs=true \
  --server=${KUBE_APISERVER} \
  --kubeconfig=lucky.kubeconfig
 
# 设置客户端认证参数
kubectl config set-credentials lucky \
  --client-key=/etc/kubernetes/pki/lucky-key.pem \
  --client-certificate=/etc/kubernetes/pki/lucky.pem \
  --embed-certs=true \
  --kubeconfig=lucky.kubeconfig
 
# 设置上下文参数
kubectl config set-context kubernetes \
  --cluster=kubernetes \
  --user=lucky \
  --namespace=lucky-cloud \
  --kubeconfig=lucky.kubeconfig
  
kubectl create namespace lucky-cloud
chmod +x rbac-kubeconfig.sh
./rbac-kubeconfig.sh 192.168.10.10
#此处为master的ip
 
# 使用上下文参数生成 lucky.kubeconfig 文件
kubectl config use-context kubernetes --kubeconfig=lucky.kubeconfig
 
//查看证书
cat lucky.kubeconfig

mkdir /home/lucky/.kube
cp lucky.kubeconfig /home/lucky/.kube/config
chown -R lucky:lucky /home/lucky/.kube/
 
 
//RBAC授权
vim rbac.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: lucky-cloud
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "watch", "list", "create"]
 
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-pods
  namespace: lucky-cloud
subjects:
- kind: User
  name: lucky
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io
  
  
kubectl apply -f rbac.yaml
 
kubectl get role,rolebinding -n lucky-cloud

//切换用户，测试操作权限
su - lucky
 
vim pod-test.yaml
apiVersion: v1
kind: Pod
metadata:
  name: pod-test
spec:
  containers:
    - name: nginx
      image: nginx
 
 
kubectl create -f pod-test.yaml
 
kubectl get pods -o wide

//访问 svc 资源就会被拒绝
kubectl get svc
 
//也无法访问 default 命名空间
kubectl get pods -n default
 
//使用 root 用户查看
kubectl get pods -n lucky-cloud -o wide
 
//也可以通过绑定 admin 角色，来获得管理员权限
kubectl create rolebinding lucky-admin-binding --clusterrole=admin --user=lucky --namespace=lucky

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/347600.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

陈酿过程中的物质转化与品质改善

陈酿过程中的物质转化与品质改善

陈酿是酿酒过程中至关重要的环节&#xff0c;它能够改善酒的品质和口感&#xff0c;使酒更加醇厚、芳香。云仓酒庄的豪迈白酒在陈酿过程中&#xff0c;物质转化与品质改善方面表现得尤为杰出。 首先&#xff0c;陈酿能够促进酒中物质的转化。在长时间的陈酿过程中&#xff0c;酒…
阅读更多...
遇到IP禁令怎么办？别慌，解决方法在这

遇到IP禁令怎么办？别慌，解决方法在这

相信很多人遇到过IP禁令&#xff1a;比如你在访问社交媒体、搜索引擎或电子商务网站时会被限制访问&#xff0c;又或者你的的账号莫名被封&#xff0c;这些由于网络上的种种限制我们经常会遭遇IP被封的情况&#xff0c;导致无法使用继续进行网络行动。在本文中&#xff0c;我们…
阅读更多...
Docker容器引擎（3）

Docker容器引擎（3）

目录 一.Docker 镜像的创建 1&#xff0e;基于现有镜像创建 2&#xff0e;基于本地模板创建 3.基于Dockerfile创建&#xff1a; Dockerfile 操作常用的指令&#xff1a; ADD 和 COPY 的区别&#xff1f; CMD 和 ENTRYPOINT 的区别&#xff1f; 容器启动命令的优先级 如…
阅读更多...
c++day2

c++day2

计算矩形的面积 #include <iostream> using namespace std; class Rect {int width;int heigh; public:void init(int w, int h){width w;heigh h;}void set_w(int w){width w;}void set_h(int h){heigh h;}void show(){cout << "该矩形面积:" <…
阅读更多...
ASP.NET Core NE8实现HTTP Upgrade和HTTP CONNECT代理服务器

ASP.NET Core NE8实现HTTP Upgrade和HTTP CONNECT代理服务器

看到一个文章[Go] 不到 100 行代码实现一个支持 CONNECT 动词的 HTTP 服务器 在NET8中如何实现 创建项目为MiniApi 编辑Program.cs文件。 var builder WebApplication.CreateSlimBuilder(args);var app builder.Build();// 将HTTP请求通过协议升级机制转为远程TCP请求&…
阅读更多...
可视化智慧水电站EasyCVR视频智能监控系统方案设计与技术应用介绍

可视化智慧水电站EasyCVR视频智能监控系统方案设计与技术应用介绍

一、背景需求 水电站作为国家重要的能源基地&#xff0c;其安全运行对于保障能源供应和社会稳定具有重要意义。然而&#xff0c;传统的人工监控方式存在着诸多问题&#xff0c;如人力成本高、监控范围有限、反应不及时等。因此&#xff0c;水电站急需引进一种先进的视频智能监…
阅读更多...
开始学习Vue2（组件的生命周期和数据共享）

开始学习Vue2（组件的生命周期和数据共享）

一、组件的生命周期 1. 生命周期 & 生命周期函数 生命周期&#xff08;Life Cycle&#xff09;是指一个组件从创建 -> 运行 -> 销毁的整个阶段&#xff0c;强调的是一个时间段。 生命周期函数&#xff1a;是由 vue 框架提供的内置函数&#xff0c;会伴随着 组件…
阅读更多...
解读Android进程优先级ADJ算法

解读Android进程优先级ADJ算法

本文基于原生Android 9.0源码来解读进程优先级原理，基于篇幅考虑会精炼部分代码 一、概述 1.1 进程 Android框架对进程创建与管理进行了封装，对于APP开发者只需知道Android四大组件的使用。当Activity, Service, ContentProvider, BroadcastReceiver任一组件启动时，当其所…
阅读更多...
[极客大挑战 2019]Upload1

[极客大挑战 2019]Upload1

直接上传php一句话木马&#xff0c;提示要上传image 把文件名改成gif并加上gif文件头后&#xff0c;绕过了对image类型的检测&#xff0c;但是提示文件内含有<?&#xff0c;且bp抓包后改回php也会被检测 那我们考虑使用js执行php代码 <script languagephp>eval($_PO…
阅读更多...
使用 LinkAi 打造自己的知识库和数字人

使用 LinkAi 打造自己的知识库和数字人

其他系列文章导航 Java基础合集数据结构与算法合集 设计模式合集 多线程合集 分布式合集 ES合集 文章目录 其他系列文章导航 文章目录 前言 一、LinkAi 介绍 二、文档库 2.1 创建知识库 2.2 配置知识库 2.3 Ai配置 2.4 导入文档 2.5 接入微信 三、扩展 四、总结…
阅读更多...
华媒舍：15种媒体发稿推广的创意理念与案例分析

华媒舍：15种媒体发稿推广的创意理念与案例分析

媒体发稿已经成为推广知名品牌、产品与服务关键方式之一。怎样通过媒体发稿提升曝光度和吸引住受众却是一个挑战。下面我们就详细介绍15种创意理念和案例分析&#xff0c;帮助你更好地进行新闻媒体发稿推广。 1.造就日常生活小故事通过展示真实用户故事和感受&#xff0c;读者对…
阅读更多...
Elasticsearch内核解析 - 写入篇

Elasticsearch内核解析 - 写入篇

Elasticsearch内核解析 - 写入篇 - 知乎 目前的Elasticsearch有两个明显的身份，一个是分布式搜索系统，另一个是分布式NoSQL数据库，对于这两种不同的身份，读写语义基本类似，但也有一点差异。 写操作 实时性： 搜索系统的Index一般都是NRT（Near Real Time），近实时的，比…
阅读更多...
vue3项目中用codemirror实现格式化java代码及不太成熟的历程

vue3项目中用codemirror实现格式化java代码及不太成熟的历程

本期只介绍创作的曲折历程&#xff0c;并不能解决实际问题&#xff0c;现有插件不支持&#xff0c;总结在了最后 一、案例效果 vue3项目使用preitter 搭配prettier-plugin-java 实现codemirror 格式化 java 二、步骤 1. 安装prettier和prettier-plugin-java&#xff0c;可以…
阅读更多...
Tomcat好帮手---JDK

Tomcat好帮手---JDK

目录 1、Tomcat好帮手---JDK 2、安装JDK 部署Tomcat参考博主博客 部署TOMCAT详解-CSDN博客 1、Tomcat好帮手---JDK JDK是 Java 语言的软件开发工具包&#xff0c;JDK是整个java开发的核心&#xff0c;它包含了JAVA的运行环境&#xff08;JVMJava系统类库&#xff09;和JAVA…
阅读更多...
计算机网络 第5章（运输层）

计算机网络 第5章（运输层）

系列文章目录 计算机网络 第1章&#xff08;概述&#xff09; 计算机网络 第2章&#xff08;物理层&#xff09; 计算机网络 第3章&#xff08;数据链路层&#xff09; 计算机网络 第4章&#xff08;网络层&#xff09; 计算机网络 第5章&#xff08;运输层&#xff09; 计算机…
阅读更多...
基于vue实现计数器案例

基于vue实现计数器案例

一、需求 页面显示两个按钮&#xff0c;分别为&#xff1a;增加 和 减少&#xff1b;显示加减后的数字&#xff1b;加到10提示不能再加&#xff0c;减到0提示不能再减&#xff1b; 二、代码演示 1、实现步骤 data中定义数据: 比如 num 值为1methods中添加两个方法: 比如add…
阅读更多...
技术标准引领文物预防性保护新篇章（文物预防保护，技术标准）

技术标准引领文物预防性保护新篇章（文物预防保护，技术标准）

文物做为历史的见证和传承&#xff0c;背负着中华文化久远的文化与智慧。但是&#xff0c;随着时间推移&#xff0c;这类珍贵的文化遗产不可避免面临各种自然和人为伤害。为了保障这类珍贵的不可再生资源&#xff0c;文物预防性保护领域标准规范发展和应用至关重要。 一、现状…
阅读更多...
蓝桥杯准备之路-Java基础复习

蓝桥杯准备之路-Java基础复习

一、基本数据类型 int(32),long(64),float,double,boolean ,char 溢出判断&#xff1a; System.out.println("蓝桥杯练习第一天");Scanner scan new Scanner(System.in);int a scan.nextInt();System.out.println(a);int a1 Integer.MAX_VALUE;System.out.prin…
阅读更多...
PySide6/PyQt6中Qt窗口标志/窗口属性汇总，如何正确的设置窗口标志/窗口属性

PySide6/PyQt6中Qt窗口标志/窗口属性汇总，如何正确的设置窗口标志/窗口属性

文章目录 📖 介绍 📖🏡 环境 🏡📒 使用方法 📒📚 窗口标志汇总📚 窗口属性汇总📝 使用方法📝 注意事项⚓️ 相关链接 ⚓️📖 介绍 📖 在Qt框架中，窗口标志（window flags）是用于控制窗口的各种属性和行为的强大工具。它们通过设置窗口的属性，如边框…
阅读更多...
阿赵UE学习笔记——解决UE资源不能正常显示缩略图的问题

阿赵UE学习笔记——解决UE资源不能正常显示缩略图的问题

阿赵UE学习笔记目录 大家好&#xff0c;我是阿赵。   这里分享一个虚幻引擎使用小技巧。在使用虚幻引擎的过程中&#xff0c;经常会遇到有些资源在重新打开项目的时候&#xff0c;会看不到缩略图&#xff0c;而是显示默认资源的图标&#xff1a; 这个时候&#xff0c;第一种…
阅读更多...
最新文章

Copyright @ 2022~2023