什么是kube-apiserver

k8s API Server提供了k8s各类资源对象（pod,RC,Service等）的增删改查及watch等HTTP Rest接口，是整个系统的数据总线和数据中心。

kubernetes API Server的功能：

提供了集群管理的REST API接口(包括认证授权、数据校验以及集群状态变更)；
提供其他模块之间的数据交互和通信的枢纽（其他模块通过API Server查询或修改数据，只有API Server才直接操作etcd）;
是资源配额控制的入口；
拥有完备的集群安全机制.

如何访问kubernetes API

大多数K8S API资源类型是“objects”,代表群集上的概念的具体实例，如pod或namespace。少数API资源类型是virtual，通常表示操作而不是对象，例如权限检查。所有对象都将具有唯一的名称以允许幂等创建和检索，但如果virtual资源类型不可检索或不依赖于幂等，则virtual资源类型可能不具有唯一名称。

1.使用kubectl proxy访问

1.1.本地监听

启动kubectl proxy，不带任何参数只在本地监听，使用的是http协议,无需提供任何凭证就可以访问。

只能在本地监听。

kubectl proxy
Starting to serve on 127.0.0.1:8001

验证api访问

[root@master1 /etc/kubernetes]#curl http://127.0.0.1:8001/version
{"major": "1","minor": "23","gitVersion": "v1.23.8","gitCommit": "a12b886b1da059e0190c54d09c5eab5219dd7acf","gitTreeState": "clean","buildDate": "2022-06-16T05:51:36Z","goVersion": "go1.17.11","compiler": "gc","platform": "linux/amd64"
}

1.2.网络监听

启动kubectl proxy，使用网卡IP，从其他机器访问， --accept-hosts=‘^*$’ 表示接受所有源IP,否则会显示不被授权。

此种方式可以用于集群内部的操作，比如开发需要调用pod的时候可以使用这种方式。

[root@master2 ~]#kubectl proxy --address='10.50.10.32'  --accept-hosts='^*$' --port=8001
Starting to serve on 10.50.10.32:8001[root@p1edaspk04 /spkshare1/Virtualbox VMS]#curl http://10.50.10.32:8001/version
{"major": "1","minor": "23","gitVersion": "v1.23.8","gitCommit": "a12b886b1da059e0190c54d09c5eab5219dd7acf","gitTreeState": "clean","buildDate": "2022-06-16T05:51:36Z","goVersion": "go1.17.11","compiler": "gc","platform": "linux/amd64"
}

只要能访问到10.50.10.32 的机器都可以访问：

有很多rest API供你调用

访问一个pod也是没有问题的

当然这些方式都是非安全方式的，更安全的方式是认证访问.

2.直接访问api

2.1.获取集群名称和api地址

[root@master3 /var/log/containers]#kubectl config view -o jsonpath='{"Cluster name\tServer\n"}{range .clusters[*]}{.name}{"\t"}{.cluster.server}{"\n"}{end}'
Cluster name    Server
kubernetes  https://10.50.10.108:6443# 将其使用变量导出，可以定义到环境变量，方面调试
export CLUSTER_NAME="kubernetes"
APISERVER=$(kubectl config view -o jsonpath="{.clusters[?(@.name==\"$CLUSTER_NAME\")].cluster.server}")

2.2.使用serviceaccount来访问

Service Account：kubernetes管理的账号，用于为Pod中的服务进程在访问Kubernetes时提供身份标识。

创建serviceaccount并绑定集群角色cluster-admin

kubectl create serviceaccount  sa-chot
kubectl create clusterrolebinding   sa-chot-cluster-admin --clusterrole='cluster-admin' --serviceaccount=default:sa-chot

获取serviceaccount sa-chot 的secret token

token也可以export到环境变量，方便调试

TOKEN=$(kubectl get secrets -o jsonpath="{.items[?(@.metadata.annotations['kubernetes\.io/service-account\.name']=='sa-chot')].data.token}"|base64 -d)

使用token访问api

curl --header "Authorization: Bearer $TOKEN" --insecure  -X GET $APISERVER/api/v1/namespaces/dev/pods?limit=1
curl --header "Authorization: Bearer $TOKEN" --insecure  -X GET $APISERVER/api/v1/namespaces/default/pods?limit=1
curl --header "Authorization: Bearer $TOKEN" --insecure  -X GET $APISERVER/api/v1/namespaces/kube-system/pods?limit=1

serviceaccount虽然是区分namespace的，但是不影响使用这个token访问所有namespace的资源。

2.3.使用useraccount来访问

一般是独立于kubernetes之外的其他服务管理的用户账号。

创建user chot的证书

openssl genrsa -out chot.key 2048
openssl req -new -key chot.key -out chot.csr -subj "/CN=chot"
openssl x509 -req -in chot.csr -out chot.crt -sha1 -CA ca.crt -CAkey ca.key  -CAcreateserial -days 3650

创建角色getpods，创建角色绑定user chot和role getpods

kubectl create role getpods --verb=get --verb=list --resource=pods
kubectl create rolebinding chot-getpods --role=getpods --user=chot --namespace=default

验证访问是否正常

curl --cert /etc/kubernetes/pki/chot.crt   -X GET $APISERVER/api/v1/namespaces/default/pods?limit=1 --key /etc/kubernetes/pki/chot.key  --insecure

验证用户chot不具备访问namespace kube-system的权限

curl --cert /etc/kubernetes/pki/chot.crt   -X GET $APISERVER/api/v1/namespaces/kube-system/pods?limit=1 --key /etc/kubernetes/pki/chot.key  --insecure
{"kind": "Status","apiVersion": "v1","metadata": {},"status": "Failure","message": "pods is forbidden: User \"chot\" cannot list resource \"pods\" in API group \"\" in the namespace \"kube-system\"","reason": "Forbidden","details": {"kind": "pods"},"code": 403
}

3.常用api资源

以下为常用资源的URL路径，将/apis/GROUP/VERSION/替换为/api/v1/,则表示基础API组

/apis/GROUP/VERSION/RESOURCETYPE
/apis/GROUP/VERSION/RESOURCETYPE/NAME
/apis/GROUP/VERSION/namespaces/NAMESPACE/RESOURCETYPE
/apis/GROUP/VERSION/namespaces/NAMESPACE/RESOURCETYPE/NAME
/apis/GROUP/VERSION/RESOURCETYPE/NAME/SUBRESOURCE
/apis/GROUP/VERSION/namespaces/NAMESPACE/RESOURCETYPE/NAME/SUBRESOURCE

查看扩展api里的资源deployments

curl  http://127.0.0.1:8001/apis/extensions/v1beta1/namespaces/kube-system/deployments

查看基础api里的资源pods

curl  http://127.0.0.1:8001/api/v1/namespaces/kube-system/pods/

3.1.使用watch持续监控资源的变化

curl  http://127.0.0.1:8001/api/v1/namespaces/test/pods
"resourceVersion": "2563046"
curl  http://127.0.0.1:8001/api/v1/namespaces/test/pods?watch=1&resourceVersion=2563046

3.2.查看前n个资源

curl  http://127.0.0.1:8001/api/v1/namespaces/kube-system/pods?limit=1
"continue": "eyJ2IjoibWV0YS5rOHMuaW8vdjEiLCJydiI6MjU2NDk2Mywic3RhcnQiOiJjYWxpY28tbm9kZS1jejZrOVx1MDAwMCJ9"

使用continue token查看下n个资源

curl  'http://127.0.0.1:8001/api/v1/namespaces/kube-system/pods?limit=1&continue=eyJ2IjoibWV0YS5rOHMuaW8vdjEiLCJydiI6MjU3MTYxMSwic3RhcnQiOiJjYWxpY28ta3ViZS1jb250cm9sbGVycy01Y2JjY2NjODg1LWt2bGRyXHUwMDAwIn0'

4.资源的类型

资源分类：Workloads，Discovery & LB ，Config & Storage，Cluster，Metadata
资源对象：Resource ObjectMeta，ResourceSpec，ResourceStatus
资源操作：create，update（replace&patch），read（get&list&watch），delete,rollback,read/write scale,read/write status

5.Workloads的操作

如果要开发一款类似于kuboard的工具，这些REST API将非常有用.

以pod为例，介绍workloads apis，以下为pod的yaml文件

apiVersion: v1
kind: Pod
metadata:name: pod-example
spec:containers:- name: ubuntuimage: ubuntu:trustycommand: ["echo"]args: ["Hello World"]

5.1. 创建pod

POST /api/v1/namespaces/{namespace}/pods
查看当前pods

# kubectl -n test get pods
NAME       READY   STATUS             RESTARTS   AGE

使用api创建pod

curl --request POST http://127.0.0.1:8001/api/v1/namespaces/test/pods -s -w "状态码是:%{http_code}\n" -o /dev/null -H 'Content-Type: application/yaml' --data 'apiVersion: v1
kind: Pod
metadata:name: pod-example
spec:containers:- name: ubuntuimage: ubuntu:trustycommand: ["echo"]args: ["Hello World"]'
状态码是:201

查看当前pods

#kubectl -n test get pods
NAME          READY   STATUS              RESTARTS   AGE
pod-example   0/1     ContainerCreating   0          4s

状态码
200 Ok
201 Created
202 Accepted

5.2.删除pod

DELETE /api/v1/namespaces/{namespace}/pods/{name}
查看当前pods

kubectl get pods -n test --show-labels
NAME          READY   STATUS             RESTARTS   AGE     LABELS
pod-example   0/1     CrashLoopBackOff   1          15s     <none>

删除pod pod-example

curl --request DELETE http://127.0.0.1:8001/api/v1/namespaces/test/pods/pod-example -o /dev/null  -s -w "状态码是:%{http_code}\n"
状态码是:200

查看当前pods

kubectl get pods -n test --show-labels
NAME          READY   STATUS             RESTARTS   AGE     LABELS
pod-example   0/1     Terminating        2          28s     <none>

状态码
200 Ok
202 Accepted

如何访问kubernetes API？相关推荐

利用curl命令访问Kubernetes API server
博主vx: haitangyijiusu .很高兴认识你!偶尔带huo,都是精挑细选信得过的产品,欢迎来支持,期待和您相遇! kubectl 通过访问 Kubernetes API 来执行命令.我们也 ...
curl不通 k8s_如何利用curl命令访问Kubernetes API server
API 请求必须使用 JSON 格式来发送.kubectl 的作用是将 yaml 转换为 JSON 格式进行 API 请求. 1.我们从查看 kubectl 的配置文件开始,需要:三个证书和 API ...
一起来学k8s 40. kubernetes api操作
kubernetes api操作 kubectl 通过访问 Kubernetes API 来执行命令.我们也可以通过对应的TLS key和token, 使用curl 或是 golang client做 ...
Kubernetes API访问控制
Kubernetes API访问控制 kubernetes主要通过API server对外提供服务,对于这样的系统来说,请求访问的安全性是非常重要的考虑因素.如果不对请求加以限制,那么会导致请求被滥用 ...
在kubernetes 集群内访问k8s API服务
所有的 kubernetes 集群中账户分为两类,Kubernetes 管理的 serviceaccount(服务账户) 和 useraccount(用户账户).基于角色的访问控制("RBA ...
资深专家深度剖析Kubernetes API Server第1章（共3章）
欢迎来到深入学习Kubernetes API Server的系列文章,在本系列文章中我们将深入的探究Kubernetes API Server的相关实现.如果你对Kubernetes的内部实现机制比较 ...
kubernetes API Server 权限管理实践
2019独角兽企业重金招聘Python工程师标准>>> kubernetes API Server 权限管理实践 API Server权限控制方式介绍 API Server权限控制分 ...
深度剖析Kubernetes API Server三部曲 - part 1
欢迎来到深入学习Kubernetes API Server的系列文章,在本系列文章中我们将深入的探究Kubernetes API Server的相关实现.如果你对Kubernetes 的内部实现机制比 ...
Kubernetes API 聚合开发汇总
2. Kubernetes API 聚合开发自定义资源实际上是为了扩展 kubernetes 的 API,向 kubenetes API 中增加新类型,可以使用以下三种方式: 修改 kubenete ...

如何访问kubernetes API？

什么是kube-apiserver

如何访问kubernetes API

1.使用kubectl proxy访问

1.1.本地监听

1.2.网络监听

2.直接访问api

2.1.获取集群名称和api地址

2.2.使用serviceaccount来访问

2.3.使用useraccount来访问

3.常用api资源

3.1.使用watch持续监控资源的变化

3.2.查看前n个资源

4.资源的类型

5.Workloads的操作

5.1. 创建pod

5.2.删除pod

如何访问kubernetes API？相关推荐

最新文章

热门文章

如何访问kubernetes API？

​什么是kube-apiserver

如何访问kubernetes API

1.使用kubectl proxy访问

1.1.本地监听

1.2.网络监听

2.直接访问api

2.1.获取集群名称和api地址

2.2.使用serviceaccount来访问

2.3.使用useraccount来访问

3.常用api资源

3.1.使用watch持续监控资源的变化

3.2.查看前n个资源

4.资源的类型

5.Workloads的操作

5.1. 创建pod

5.2.删除pod

如何访问kubernetes API？相关推荐

最新文章

热门文章

什么是kube-apiserver