13、Kubernetes 集群管理：授权与准入控制详解

Kubernetes 集群管理：授权与准入控制详解

1. 授权模块概述

Kubernetes 支持多种授权模块，包括 ABAC、RBAC、节点授权、Webhook 和自定义模块。在基于角色的访问控制（RBAC）引入之前，基于属性的访问控制（ABAC）是主要的授权模式。节点授权由 kubelet 用于向 API 服务器发出请求。Kubernetes 支持 Webhook 授权模式，用于与外部 RESTful 服务建立 HTTP 回调。另一种常见的方法是通过遵循预定义的授权接口来实现自定义模块。

2. 基于角色的访问控制（RBAC）

自 Kubernetes 1.6 起，RBAC 默认启用。在 RBAC 中，管理员创建多个角色（Role）或集群角色（ClusterRole），这些角色定义了细粒度的权限，指定了角色可以访问和操作的一组资源和操作（动词）。然后，管理员通过角色绑定（RoleBinding）或集群角色绑定（ClusterRoleBinding）将角色权限授予用户。

• 启用 RBAC

  • 如果你使用的是 Minikube，在启动时添加 --extra-config=apiserver.Authorization.Mode=RBAC 。
  • 如果你通过 kops 在 AWS 上运行自托管集群，在启动集群时添加 --authorization=rbac 。
  • EKS 和 GKE 原生支持 RBAC。
• <