21、Kubernetes 安全与管理：Secret 配置、Docker 及 kubectl 全解析

Kubernetes 安全与管理：Secret 配置、Docker 及 kubectl 全解析

1. Kubernetes Secret 配置安全最佳实践

Kubernetes Secret 用于存储敏感信息，如密码、令牌等。为确保这些信息的安全性，可遵循以下最佳实践：
- 数据加密 ：默认情况下，Secret 对象在 etcd 中以未加密形式存储。因此，应在数据存入 etcd 之前进行加密，可采用加密机制，如使用 Kubernetes 的加密提供程序，以防止即便有人访问 API 服务器和 etcd 也无法获取敏感数据。
- 访问控制 ：仅授予集群管理员访问 etcd 的权限，严格限制对 etcd 的访问范围，降低数据泄露风险。
- 最小权限原则 ：对 Secret 的操作遵循“最小权限”原则，限制 watch 和 list 操作，通常仅允许 get 操作，避免不必要的信息暴露。
- etcd 通信加密 ：若使用多个 etcd 实例，确保它们之间的通信是加密的，可使用 TLS 加密通信，保障数据传输的安全性。
- 容器访问配置 ：当 Pod 中有多个容器，且只有一个需要访问 Secret 数据时，可通过容器环境变量或卷来配置访问权限，防止其他容器获取敏感数据。
- 日志管理 ：确保应用访问 Secret 数据后，不将其记录在任何日志文件中。必要时，仅记录 Secret 密钥，而非其值。
- 避免代码库提交 ：若使用模板或规范文件创建 Secret 对象，切勿将其提交到代码库，以防有权限访问代码库的人获取 Secret 信息。

2. Docker 概述

Docker 是一个用于开发、部署和运行应用程序的开源平台，基于客户端 - 服务器架构，主要组件包括 Docker 客户端、Docker 主机和 Docker 注册表。以下是 Docker 的一些关键概念：
- 容器与镜像 ：Docker 容器是容器镜像的运行实例，而容器镜像是一个包含应用程序运行所需一切的软件包，包括应用代码、依赖库和运行时环境。
- Dockerfile ：是一个包含构建镜像代码指令的文件，Docker 根据其中的指令构建镜像。可使用 .dockerignore 文件指定在构建镜像时要排除的文件和目录列表。
- 镜像层与容器层 ：Docker 中有两种类型的层，镜像层是只读层，Dockerfile 中的每个指令都会在镜像中创建一个新层；容器层是在基础镜像层之上创建的读写层。
- Docker 工具 ：
- Docker Desktop ：是一个简化的 GUI 工具，用于构建容器化应用程序。
- Docker Extensions ：通过允许使用第三方工具扩展 Docker Desktop 的功能。
- Docker Engine ：用于构建容器化应用程序。
- Docker Build ：用于打包代码并构建 Docker 镜像。
- Docker Compose ：是一个 Docker 应用程序，允许定义和运行多容器应用程序。

3. kubectl 基础

kubectl 是 Kubernetes 集群的命令行接口，用于管理集群资源和执行操作。它通过 Kubernetes API 与主节点进行交互，执行的命令会转换为 API 调用并发送到主节点处理。以下是 kubectl 的一些重要概念：

3.1 如何查找 Kubernetes 集群详细信息

kubectl 通过 kubeconfig 文件查找集群详细信息。若要显式设置 kubeconfig 文件，可使用 --kubeconfig 标志或 KUBECONFIG 环境变量。

3.2 示例 kubeconfig 文件解析

可使用 kubectl config view 命令查看 kubeconfig 文件中的集群详细信息。以下是一个示例 kubeconfig 文件：

apiVersion: v1
clusters:
- cluster:
    certificate-authority: /home/hagrawal7777/.minikube/ca.crt
    server: https://192.168.0.231:8443
  name: minikube
contexts:
- context:
    cluster: minikube
    namespace: default
    user: minikube
  name: minikube
current-context: minikube
kind: Config
preferences: {}
users:
- name: minikube
  user:
    client-certificate: /home/hagrawal7777/.minikube/profiles/client.crt
    client-key: /home/hagrawal7777/.minikube/profiles/client.key

该文件包含以下关键字段：
- clusters ：列出此 kubeconfig 文件连接的集群。
- users ：列出允许访问集群的用户。
- contexts ：用于列出所有可用的上下文，将集群和用户组合在一起。
- current-context ：列出当前上下文，kubectl 命令在当前上下文中执行。可使用 kubectl config current-context 查看当前上下文，使用 kubectl config use-context <CONTEXT_NAME> 设置当前上下文。

3.3 kubectl 通用语法

kubectl 命令的通用语法如下：

kubectl [COMMAND] [TYPE] [NAME] [FLAGS]

• [COMMAND] ：指定要执行的操作，如 apply 、 create 、 patch 、 delete 、 get 等。
• [TYPE] ：指定要执行操作的 Kubernetes 资源/对象类型，如 pod 、 deployment 、 service 等。
• [NAME] ：指定对象的名称。若未指定，则视为列出给定类型的所有对象的命令。
• [FLAGS] ：指定额外的标志，如 -o yaml 用于以 YAML 格式显示输出。

3.4 kubectl 命令的广泛分类

kubectl 命令可分为以下几类：
| 类别 | 命令 | 描述 |
| — | — | — |
| 基本命令 | create | 创建资源 |
| | expose | 将工作负载暴露为 Kubernetes 服务 |
| | run | 在集群上运行镜像 |
| | set | 设置对象的功能 |
| | explain | 获取资源的文档 |
| | get | 获取资源 |
| | edit | 编辑资源 |
| | delete | 删除资源 |
| 高级命令 | diff | 比较实时版本与应用版本 |
| | apply | 将配置应用于资源 |
| | patch | 更新资源的字段 |
| | replace | 替换资源 |
| | label | 更新资源的标签 |
| | annotate | 更新资源的注释 |
| 部署相关命令 | rollout | 管理资源的部署 |
| | scale | 扩展部署或副本集 |
| | autoscale | 自动扩展部署或副本集 |
| 集群管理相关命令 | certificate | 修改证书资源 |
| | cluster-info | 打印集群信息 |
| | top | 显示 CPU、内存使用情况 |
| | cordon | 将节点标记为不可调度 |
| | uncordon | 将节点标记为可调度 |
| | drain | 为维护准备节点 |
| | taint | 为节点添加污点 |
| 故障排除相关命令 | describe | 描述资源的详细信息 |
| | logs | 打印 Pod 中容器的日志 |
| | attach | 连接到正在运行的容器 |
| | exec | 在容器中执行命令 |
| | port-forward | 将一个或多个本地端口转发到 Pod |
| | proxy | 运行到 Kubernetes API 服务器的代理 |
| | auth | 检查授权 |
| | debug | 为工作负载和节点创建故障排除会话 |
| | events | 列出事件 |

3.5 重要 kubectl 命令速查表

3.5.1 通用命令

• 创建资源（文件）：

kubectl apply -f Listing1.yaml
kubectl create -f Listing1.yaml

• 创建资源（网络资源）：

kubectl apply -f https://hagrawal7777.com/Listing1.yaml
kubectl create -f https://hagrawal7777.com/Listing1.yaml

• 替换资源：

kubectl replace -f Listing2.yaml

• 获取支持的资源列表：

kubectl api-resources

• 获取命名空间资源列表：

kubectl api-resources --namespaced=true

• 获取命令帮助：

kubectl get -h
kubectl create -h
kubectl delete -h

• 读取资源文档：

kubectl explain <RESOURCE_NAME>

• 打印支持的 API 版本：

kubectl api-versions

• 打印 Kubernetes 版本：

kubectl version --output=yaml

• 查看集群配置：

kubectl config view

• 列出所有事件：

kubectl get events

• 显示特定资源的事件详情：

kubectl get event --field-selector involvedObject.name=ha-nginx-pod --output json

• 禁用警告消息：

kubectl create -f listing1.yaml 2>&1 | grep -i -v "Warn"

• 打印指定列：

kubectl get pods -o custom-columns='POD_NAME:.metadata.name, POD_UID:.metadata.uid'

• 创建别名：

alias gpods="kubectl get pods"

3.5.2 kubectl apply 与 kubectl create 的区别

kubectl apply 用于根据规范文件中的配置将配置应用于资源，而 kubectl create 用于根据配置创建资源。例如，若 Listing1.yaml 包含一个名为 simple-pod 的 Pod 定义：
- 若 simple-pod 未创建， kubectl apply -f Listing1.yaml 和 kubectl create -f Listing1.yaml 都将创建该 Pod。
- 若 simple-pod 已创建， kubectl create -f Listing1.yaml 将失败并显示错误消息，而 kubectl apply -f Listing1.yaml 将重新应用相同的配置。

3.5.3 命名空间命令

• 创建命名空间：

kubectl create namespace ha-namespace-n1

• 列出所有命名空间：

kubectl get namespaces
kubectl get ns

• 获取特定命名空间：

kubectl get ns ha-namespace-n1

• 删除命名空间：

kubectl delete namespace ha-namespace-n1
kubectl delete namespace/ha-namespace-n1

• 设置默认命名空间：

kubectl config set-context --current --namespace=ha-namespace-n1

• 查看默认命名空间：

kubectl config view --minify | grep namespace

3.5.4 Pod 命令

• 列出默认命名空间中的所有 Pod：

kubectl get pods
kubectl get pod

• 列出所有命名空间中的所有 Pod：

kubectl get pods --all-namespaces

• 列出特定命名空间中的所有 Pod：

kubectl get pods --namespace=kube-system

• 显示 Pod 的详细描述：

kubectl describe pod ha-nginx-pod

• 删除 Pod：

kubectl delete pod ha-nginx-pod
kubectl delete pod/ha-nginx-pod

• 打印容器日志：

kubectl logs ha-nginx-pod -c ha-nginx-c-1

• 创建容器的 shell 会话：

kubectl exec -it ha-nginx-pod -c ha-nginx-c-1 -- /bin/bash

3.5.5 自定义 kubectl 输出命令

• 标签选择器 ：
  • 显示所有 Pod 标签：

kubectl get pods --show-labels

- 列出具有特定标签键值对的 Pod：

kubectl get pods -l app=ha-nginx-p

- 选择具有特定标签值的 Pod：

kubectl get pods -l 'version in (v1,v2)'

- 根据 Pod 阶段状态选择 Pod：

kubectl get pods --field-selector status.phase=Running
kubectl get pods --field-selector status.phase=Completed
kubectl get pods --field-selector status.phase=Pending

- 根据特定注释选择 Pod：

kubectl get pods --output=json | jq -r '["NAME","STATUS"],(.items[]|[select(.metadata.annotations["chapter-number"]="five")|.metadata.name,.status.phase])|@tsv' | column --table --separator $'\t'

• 自定义列 ：
  • 显示所有 Pod 的容器详细信息：

kubectl get pods -o custom-columns="List of containers":.spec.containers[*].name

- 显示特定 Pod 的容器详细信息：

kubectl get pod ha-nginx-pod -o custom-columns="List of containers":.spec.containers[*].name

- 显示 Pod 所在的节点名称：

# 方法一
kubectl get pods -o custom-columns=POD_NAME:.metadata.name,NODE_NAME:.spec.nodeName
# 方法二（需安装 jq）
kubectl get pods -o json | jq -r '.items[] | [.metadata.name, .spec.nodeName] | @tsv' | column -t
# 方法三
kubectl get pods -o wide

通过遵循这些最佳实践和掌握 kubectl 命令，可更安全、高效地管理 Kubernetes 集群和 Docker 应用程序。

4. 实际操作案例及注意事项

4.1 Kubernetes Secret 配置安全实践操作

在实际操作中，为了实现 Kubernetes Secret 配置的安全，我们可以按照以下步骤进行：
1. 数据加密设置 ：
- 首先，需要配置 Kubernetes 的加密提供程序。以使用 AES-CBC 加密算法为例，编辑 kube-apiserver 的配置文件，添加如下内容：

apiVersion: apiserver.config.k8s.io/v1
kind: EncryptionConfiguration
resources:
  - resources:
      - secrets
    providers:
      - aesgcm:
          keys:
            - name: key1
              secret: <BASE64_ENCODED_SECRET>
      - identity: {}

- 这里的 `<BASE64_ENCODED_SECRET>` 是一个经过 Base64 编码的密钥，长度为 32 字节。配置完成后，重启 `kube-apiserver` 使配置生效。

2. 访问控制实施 ：
   • 创建一个名为 etcd-admin 的角色，只允许集群管理员访问 etcd。可以使用以下 YAML 文件创建角色：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: etcd-admin
rules:
  - apiGroups: [""]
    resources: ["secrets"]
    verbs: ["get", "list", "watch"]
    resourceNames: ["etcd-secret"]

- 然后将该角色绑定到集群管理员用户：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: etcd-admin-binding
subjects:
  - kind: User
    name: cluster-admin
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: etcd-admin
  apiGroup: rbac.authorization.k8s.io

4.2 Docker 应用部署示例

假设我们要部署一个简单的 Node.js 应用，以下是具体的操作步骤：
1. 创建 Dockerfile ：

# 使用 Node.js 基础镜像
FROM node:14

# 设置工作目录
WORKDIR /app

# 复制 package.json 和 package-lock.json
COPY package*.json ./

# 安装依赖
RUN npm install

# 复制应用代码
COPY . .

# 暴露端口
EXPOSE 3000

# 启动应用
CMD ["node", "app.js"]

2. 构建 Docker 镜像 ：
   在项目根目录下执行以下命令：

docker build -t my-node-app .

3. 运行 Docker 容器 ：

docker run -p 3000:3000 my-node-app

4.3 kubectl 命令的实际运用场景

4.3.1 部署应用

假设我们有一个 deployment.yaml 文件，内容如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app-deployment
spec:
  replicas: 3
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
        - name: my-app-container
          image: my-node-app
          ports:
            - containerPort: 3000

使用 kubectl apply 命令部署应用：

kubectl apply -f deployment.yaml

4.3.2 故障排除

当 Pod 出现问题时，我们可以使用以下命令进行排查：
- 查看 Pod 的详细信息：

kubectl describe pod my-app-pod

• 查看容器的日志：

kubectl logs my-app-pod -c my-app-container

• 进入容器进行调试：

kubectl exec -it my-app-pod -c my-app-container -- /bin/bash

4.4 注意事项

• 在使用 kubectl 命令时，要注意命令的大小写和参数的正确性。例如，对象名称是区分大小写的，使用 [FLAGS] 选项时要注意其会覆盖默认值和环境变量的值。
• 在进行数据加密配置时，要妥善保管加密密钥，避免密钥泄露导致数据安全问题。
• 在使用 Docker 构建镜像时，合理使用 .dockerignore 文件，排除不必要的文件和目录，以减小镜像的大小。

5. 总结

通过本文的介绍，我们了解了 Kubernetes Secret 配置的安全最佳实践，包括数据加密、访问控制、最小权限原则等。同时，对 Docker 的基本概念和常用工具进行了概述，以及详细介绍了 kubectl 这个 Kubernetes 集群的命令行工具，包括其基础概念、通用语法、命令分类和重要命令速查表。在实际操作中，我们可以根据这些知识进行安全、高效的 Kubernetes 集群和 Docker 应用程序的管理。无论是部署新的应用、进行故障排除还是进行安全配置，都可以借助这些工具和方法来完成。希望这些内容能帮助你更好地掌握 Kubernetes 和 Docker 的相关知识，提升你的技术能力。

graph LR
    A[Kubernetes 集群管理] --> B[Secret 配置安全]
    A --> C[Docker 应用部署]
    A --> D[kubectl 命令操作]
    B --> B1[数据加密]
    B --> B2[访问控制]
    B --> B3[最小权限原则]
    C --> C1[容器与镜像]
    C --> C2[Dockerfile 构建]
    C --> C3[Docker 工具使用]
    D --> D1[基本命令]
    D --> D2[高级命令]
    D --> D3[部署相关命令]
    D --> D4[集群管理相关命令]
    D --> D5[故障排除相关命令]

以上流程图展示了 Kubernetes 集群管理的主要方面，包括 Secret 配置安全、Docker 应用部署和 kubectl 命令操作，以及每个方面的具体内容。通过这个流程图，可以更直观地了解整个知识体系的结构。