9、Kubernetes 认证、授权与服务账户管理全解析

Kubernetes 认证、授权与服务账户管理全解析

1. Kubernetes 认证机制概述

Kubernetes 集群中配置的认证机制并非相互排斥，建议同时启用多个插件。例如，管理员可以同时配置 TLS 客户端证书和 OIDC 认证。虽然日常使用中可能不需要同时使用多种机制，但在调试次要 API 认证机制失败时，这种配置就会发挥重要作用。此时，可以利用已知且受保护的证书来获取有关失败的更多数据。

需要注意的是，当多个认证插件同时激活时，第一个成功认证用户的插件将短路认证过程。

2. kubeconfig 文件详解

为了记录认证细节，需要创建一个 kubeconfig 文件，kubectl 使用该配置文件来确定向 API 服务器发出请求的位置和方式。该文件通常位于主目录下的 ~/.kube/config ，也可以通过 --kubeconfig 参数或 KUBECONFIG 环境变量在命令行中显式指定。

kubeconfig 文件是否嵌入凭证取决于所使用的认证机制和安全策略。如果将凭证嵌入该配置文件，任何有权访问该文件的人都可以使用这些凭证，因此要像对待高度敏感的密码一样对待它。

kubeconfig 文件有三个顶级结构：
- users ：命名用户并提供其向集群进行认证的机制。
- clusters ：提供连接到集群所需的所有数据，至少包括 API 服务器的 IP 或完全限定域名，也可能包括自签名证书的 CA 捆绑包。
-