k8s安全机制

目录

1.认证（Authentication）

2. 鉴权（Authorization）

3.准入控制（Admission Control）

---

Kubernetes 作为一个分布式集群的管理工具，保证集群的安全性是其一个重要的任务。API Server 是集群内部各个组件通信的中介， 也是外部控制的入口。所以 Kubernetes 的安全机制基本就是围绕保护 API Server 来设计的。
比如 kubectl 如果想向 API Server 请求资源，需要过三关，第一关是认证（Authentication），第二关是鉴权（Authorization）， 第三关是准入控制（Admission Control），只有通过这三关才可能会被 K8S 创建资源。

1.认证（Authentication）

●HTTP Token 认证：通过一个 Token 来识别合法用户
HTTP Token 的认证是用一个很长的特殊编码方式的并且难以被模仿的 Token 字符串来表达客户的一种方式。Token 是一个很长的很复杂的字符串，每一个 Token 对应一个用户名存储在 API Server 能访问的文件中。当客户端发起 API 调用请求时，需要在 HTTP Header 里放入 Token。

●HTTP Base 认证：通过用户名+密码的方式认证
用户名:密码 用 BASE64 算法进行编码后的字符串放在 HTTP Request 中的 Heather Authorization 域里发送给服务端， 服务端收到后进行解码，获取用户名及密码。

●HTTPS 证书认证（最严格）：基于 CA 根证书签名的客户端身份认证方式。

#注：Token 认证和 Base 认证方式只能进行服务端对客户端的单向认证，而客户端不知道服务端是否合法；而 HTTPS 证书认证方式 则可以实现双向认证。

（1）需要被认证的访问类型：
●Kubernetes 组件对 API Server 的访问：kubectl、kubelet、kube-proxy
●Kubernetes 管理的 Pod 对 API Server 的访问：Pod（coredns,dashborad 也是以 Pod 形式运行）

（2）安全性说明：
●Controller Manager、Scheduler 与 API Server 在同一台机器，所以直接使用 API Server 的非安全端口访问（比如 8080 端口）
●kubectl、kubelet、kube-proxy 访问 API Server 就都需要证书进行 HTTPS 双向认证，端口号使用 6443

（3）证书颁发：
●手动签发：使用二进制部署时，需要先手动跟 CA 进行签发 HTTPS 证书
●自动签发：kubelet 首次访问 API Server 时，使用 token 做认证，通过后，Controller Manager 会为 kubelet 生成一个证书， 以后的访问都是用证书做认证了

（4）kubeconfig
kubeconfig 文件包含集群参数（CA 证书、API Server 地址），客户端参数（上面生成的证书和私钥），集群 context 上下文参数 （集群名称、用户名）。Kubenetes 组件（如 kubelet、kube-proxy）通过启动时指定不同的 kubeconfig 文件可以切换到不同的集群 ，连接到 apiserver。
也就是说 kubeconfig 文件既是一个集群的描述，也是集群认证信息的填充。包含了集群的访问方式和认证信息。kubectl 文件默认位于 ~/.kube/config

（5）Service Account
Service Account是为了方便 Pod 中的容器