9、Kubernetes 认证与授权全解析

Kubernetes 认证与授权全解析

1. 认证机制概述

Kubernetes 集群中配置的认证机制并非相互排斥，建议同时启用多个插件。例如，管理员可以同时配置 TLS 客户端证书和 OIDC 认证。虽然日常使用中可能不需要同时使用多种机制，但在调试二级 API 认证机制失败时，这种配置就显得很有价值。当多个认证插件同时启用时，第一个成功认证用户的插件将终止认证过程。

2. kubeconfig 文件

使用各种认证机制时，需要创建一个 kubeconfig 文件来记录认证细节。kubectl 使用该配置文件确定向 API 服务器发出请求的位置和方式。该文件通常位于主目录下的 ~/.kube/config ，也可以通过 --kubeconfig 参数或 KUBECONFIG 环境变量在命令行中明确指定。

kubeconfig 文件有三个顶级结构：
- users ：为用户命名，并提供其向集群进行认证的机制。
- clusters ：提供连接到集群所需的所有数据，至少包括 API 服务器的 IP 或完全限定域名，也可能包括自签名证书的 CA 包。
- contexts ：将用户与集群关联为一个命名实体，是 kubectl 连接和认证 API 服务器的方式。

以下是创建和操作 kubeconfig 文件的示例：

$ export KU