配置kubectl客户端通过token方式访问kube-apiserver

最新推荐文章于 2025-04-03 16:58:26 发布

转载最新推荐文章于 2025-04-03 16:58:26 发布 · 2.2k 阅读

kubernetes 专栏收录该内容

282 篇文章

订阅专栏

本文介绍如何在Kubernetes中配置API Server并使用RBAC限制用户权限。通过设置kubectl config，添加token证书，及配置kube-apiserver启动参数，实现对crd-admin用户的权限控制，确保其仅能在crd namespace下操作。

帮助文档

使用的变量

本文档用到的变量定义如下：

$ export MASTER_IP=XX.XX.XX.XX # 替换为 kubernetes master VIP
$ export KUBE_APISERVER="https://${MASTER_IP}:6443"
$

创建 kubectl config 文件

$ # 设置集群参数
$ kubectl config set-cluster kubernetes \
  --insecure-skip-tls-verify=true \
  --server=${KUBE_APISERVER} 
$ # 设置客户端认证参数
$ kubectl config set-credentials crd-admin \
 --token=7176d48e4e66ddb3557a82f2dd316a93 
$ # 设置上下文参数
$ kubectl config set-context kubernetes \
  --cluster=kubernetes \
  --user=crd-admin  \
  --namespace=crd 
$ # 设置默认上下文
$ kubectl config use-context kubernetes

使用命令 head -c 16 /dev/urandom | od -An -t x | tr -d ' ' 生成token

kube-apiserver设置

添加kube-apiserver端token证书

$ cat > /etc/kubernetes/pki/token_auth_file<<EOF
7176d48e4e66ddb3557a82f2dd316a93,crd-admin,1
 EOF

第一列为刚刚生成的token，要与config里的token一致
第二列为user，要与config里的use一致
编号或是序列号

添加kube-spiserver启动参数 --token-auth-file=/etc/kubernetes/pki/token_auth_file

注意地址
需要重启kube-apiserver
证书验证和token和同时启用的，但是token和用户名密码，不可同时启用

配置客户端RBAC相关

限制 crd-admin 用户的行为，需要使用 RBAC 将该用户的行为限制在crd namespace 空间范围内

kubectl create -f crd-rbac.yaml

这样 crd-admin 用户对 crd namespace 具有完全访问权限。

crd-rbac.yaml具体内容：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: crdadmin-admin-binding
  namespace: crd
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: crd-admin