k8s集群安全机制

最新推荐文章于 2025-04-23 18:05:19 发布

lzl-688

最新推荐文章于 2025-04-23 18:05:19 发布

阅读量226

点赞数

分类专栏： k8s

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文链接：https://blog.youkuaiyun.com/weixin_43753680/article/details/114090942

版权

k8s 专栏收录该内容

13 篇文章

订阅专栏

k8s集群安全机制

机制说明

在这里插入图片描述

安全主要是围绕 api server 来展开的

认证（Authentication）

当用户访问到api server 的时候，需要进行相关的认证
在这里插入图片描述

token信息存储在文件中，不安全
用户名加密码的认证信息是用的 base64 算法，但是该算法不安全
https证书最安全，所有节点的证书都是根据ca签发出来的子证书。目前均采用 https 双向认证

HTTPS 证书认证（双向）

认证过程

在这里插入图片描述

客户端和服务端都需要向ca申请证书，然后ca进行下发证书
双方访问时进行证书认证

需要认证的节点

在这里插入图片描述

可以在master关闭非安全端口，让master节点的其他组件被迫访问安全端口

在这里插入图片描述

ServiceAccount 是负责循环访问的，避免pod 重建销毁过程中大量证书资源的浪费

在这里插入图片描述

JWT科普

认证总结

在这里插入图片描述

鉴权

上面的认证通过后并不意味着你就可以进行资源的访问了，还需要进行鉴权
类似于相亲，认证只是表明可以见面了，而鉴权则是决定是否能在一起。。。。。

在这里插入图片描述

目前常用的RBAC

RBAC 鉴权模式

RBAC 资源对象

在这里插入图片描述

把一些相关的操作作为角色然后进行绑定

在这里插入图片描述

Role 和 ClusterRole

role是pod级别，ClusterRole 是集群级别

role

在这里插入图片描述

role 是命名空间级别

在这里插入图片描述

意思是：当把上面的role 赋予某个用户时，该用户就可以在默认的命名空间下对pod（仅对指定的资源类型）进行 get 、 watch、list 操作

ClusterRole

在这里插入图片描述

含义：把创建的角色赋予给某个用户后，即所谓的ClusterRoleBinding 后，该用户可以在所有的命名空间下进行对指定资源（目前指定的时 secrets）的指定操作

RoleBinding 和 ClusterRoleBinding

RoleBinding
在这里插入图片描述

RoleBinding 绑定 ClusterRole

在这里插入图片描述
ClusterRoleBinding 方案

在这里插入图片描述

Resources

在Role和ClusterRole 中会引用

在这里插入图片描述

to Subjects

在这里插入图片描述

评论

被折叠的条评论为什么被折叠?

到【灌水乐园】发言

查看更多评论

添加红包

成就一亿技术人!

hope_wisdom

发出的红包

实付元

使用余额支付

点击重新获取

扫码支付

钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。