38、保障Kubernetes API服务器安全与基于角色的访问控制

保障Kubernetes API服务器安全与基于角色的访问控制

1. 内置组的特殊含义

在Kubernetes中，插件返回的组本质上是字符串，代表任意组名，但内置组具有特殊意义：
- system:unauthenticated 组：用于所有认证插件都无法对客户端进行认证的请求。
- system:authenticated 组：自动分配给成功通过认证的用户。
- system:serviceaccounts 组：包含系统中的所有服务账户（ServiceAccounts）。
- system:serviceaccounts:<namespace> ：包含特定命名空间中的所有服务账户。

2. 深入了解服务账户（ServiceAccounts）

API服务器要求客户端在执行操作前进行身份验证。Pods可以通过发送 /var/run/secrets/kubernetes.io/serviceaccount/token 文件的内容来进行身份验证，该文件通过秘密卷挂载到每个容器的文件系统中。

每个Pod都与一个服务账户相关联，该服务账户代表在Pod中运行的应用程序的身份。令牌文件包含服务账户的认证令牌。当应用程序使用此令牌连接到API服务器时，认证插件会对服务账户进行认证，并将服务账户的用户名返回给API服务器核心。服务账户的用户名格式如下：

system:serviceaccou