k8s中RBAC使用

原创

已于 2024-11-28 10:23:48 修改 · 916 阅读

13 ·

CC 4.0 BY-SA版权

文章标签：

#kubernetes #docker #容器

于 2024-11-12 17:32:53 首次发布

原文出处: 25-k8s集群中-RBAC用户角色资源权限_权限资源角色-优快云博客

这里根据自己的实践做了完善笔记.

1，用户的创建流程

1,User
2,SerciceAccount
3,Group

本质上讲，在k8s系统中，用户，就是一个文件，这个文件在当前登录用户的家目录下；

这个文件config，就代表“我”是谁；

这里面并没有角色、权限信息，角色和权限信息，在其他位置；

[root@k8s231 ~]# ll .kube/config 
-rw------- 1 root root 5634 Jan  1 19:40 .kube/config

所以，要创建用户，就是要创建这个文件；

那么如何创建这个文件呐？

· ssl流程介绍

知道了ssl原理，https请求过程，我们就了解了，ssl的安全机制；

实际上k8s当中“根证书”早就生成好了，在我们kubeadm部署的时候，就自动帮我们生成了；

k8s是模拟ca机构，给自己颁发证书，自己验证自己，所以，整数中有私钥、公钥等；

[root@k8s231 ~]# ll /etc/kubernetes/pki/
total 56
-rw-r--r-- 1 root root 1281 Jan  1 19:39 apiserver.crt
-rw-r--r-- 1 root root 1155 Jan  1 19:39 apiserver-etcd-client.crt
-rw------- 1 root root 1679 Jan  1 19:39 apiserver-etcd-client.key
-rw------- 1 root root 1675 Jan  1 19:39 apiserver.key
-rw-r--r-- 1 root root 1164 Jan  1 19:39 apiserver-kubelet-client.crt
-rw------- 1 root root 1679 Jan  1 19:39 apiserver-kubelet-client.key
#根证书
-rw-r--r-- 1 root root 1099 Jan  1 19:39 ca.crt
#ca机构的私钥
-rw------- 1 root root 1679 Jan  1 19:39 ca.key
drwxr-xr-x 2 root root  162 Jan  1 19:39 etcd
-rw-r--r-- 1 root root 1115 Jan  1 19:39 front-proxy-ca.crt
-rw------- 1 root root 1675 Jan  1 19:39 front-proxy-ca.key
-rw-r--r-- 1 root root 1119 Jan  1 19:39 front-proxy-client.crt
-rw------- 1 root root 1679 Jan  1 19:39 front-proxy-client.key
-rw------- 1 root root 1675 Jan  1 19:39 sa.key
-rw------- 1 root root  451 Jan  1 19:39 sa.pub

1.生成用户证书

一个用户一个证书，这个用户证书，就是用来生成，用户文件的（也就是家目录下的config）

· 生成kubeconfig用户授权文件
有了这个授权文件，我们就拥有了一个用户了；

但是，还没有任何权限，还无法使用；

2.创建角色和规则

通过资源清单的方式，创建角色和规则；

角色就是：

1，Role：局部资源角色

2，ClusterRole：全局资源角色

规则就是：这个角色的权限；能使用什么资源、不能使用什么资源，，，，

3，角色与用户的绑定
根据角色的不同，创建资源清单，对应不同的绑定资源清单的编写；

1，RoleBinding

2，ClusterRoleBinding

只要角色和用户绑定完成，那么，RBAC的整个流程就结束了；

我们就成功创建了一个带有特定权限的用户；就可以分发给“同事”进行使用了；

4，逻辑流程的总结