kubernetes apiserver认证 1
kubernetes认证
Kubernetes集群的操作可以通过apiserver来进行操作,kubectl命令最终也是调用的apiserver,如果想要获取对apiserver进行操作,需要先通过其认证
api-server的认证方式:
基本认证:basic-auth
--basic-auth-file=/path/to/basic-auth.csv
在basic-auth.csv中拥有以列为单位的认证信息,格式为password,username,uid
示例:
passwd,kinderao,1
password2,test,2
然后在 kube-apiserver启动的时候加上--basic-auth-file=/path/to/basic-auth.csv这个参数,启动起来过后再在使用k8s的api就需要加上认证信息,否则就会unauthorized,加认证信息的方法是在http请求的header中添加一个Authorization,value是Basic base64编码后的用户名密码信息
Token认证:token-auth
--token-auth-file=/path/to/token-auth.csv
在token-auth.csv中拥有以列为单位的认证信息,格式为token,username,uid
示例
token,kinderao,1
token2,kinderao2,2
同样也是在apiserver的启动参数里面加入--token-auth-file=/path/to/token-auth.csv这个参数,然后在请求的时候同样在header中添加Authorization,value是Bearer token
CA证书认证:
在使用证书认证之前首先需要申请证书,证书可以通过权威CA来申请,也可以通过自签证书,不过部署kubernetes的大多数环境都是内网环境,所以更多的还是使用的是自签证书。
生成证书的步骤如下:
首先需要你的linux系统上安装有openssl,大多数的linux发行版都带有这个工具,使用openssl生成根证书cacert:
# 生成密钥 openssl genrsa -out ca.key 2048 # 生成根证书 openssl req -x509 -nodes -key ca.key -subj "/CN=yourcomany.com" -days 5000 -out ca.crt
为server生成证书:
# 生成server的密钥 openssl genrsa -out server.key 2048 # 生成证书申请,其中的hostname需要填入你的服务器的域名或者ip地址,这个地方有个坑 # 就是在这填入的是什么地址,在client请求的时候就要使用这个地址,之前配的是ip,但是请求的时候使用主机名,导致一直没有出现bad certificate的问题 openssl req -new -key server.key -subj "/CN=`hostname`" -out server.csr # 使用刚才生成的根证书以及密钥来生成server的证书 openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 5000
再为client生成证书:
# 生成client的密钥 openssl genrsa -out client.key 2048 # 生成证书申请,这里需要填的地址和上面的server一致即可 openssl req -new -key client.key -subj "/CN=`hostname`" -out client.csr # 使用根证书和密钥来生成client的证书 openssl x509 -req -in client.csr -CA ca.crt -CAcreateserial -out client.crt -days 5000
配置api-server的启动参数,在apiserver的启动参数中加上下面的启动参数
--secure-port=443 --client_ca_file=/root/genkey/ca.crt --tls-private-key-file=/root/genkey/server.key --tls-cert-file=/root/genkey/server.crt
也可以放到/etc/kubernets/apiserver配置文件的args参数里面
启动kube-apiserver会看见一下日志:
I0330 05:17:46.582385 4776 config.go:531] Will report 10.0.0.103 as public IP address.
[restful] 2017/03/30 05:17:46 log.go:30: [restful/swagger] listing is available at https://10.0.0.103:443/swaggerapi/
[restful] 2017/03/30 05:17:46 log.go:30: [restful/swagger] https://10.0.0.103:443/swaggerui/ is mapped to folder /swagger-ui/
I0330 05:17:46.950556 4776 serve.go:104] Serving securely on 0.0.0.0:443
I0330 05:17:46.950618 4776 serve.go:118] Serving insecurely on 127.0.0.1:8080
我们在本机上使用curl来验证一下:
curl https://hostname:443 --cacert ca.crt --key client.key --cert client.crt
以后的请求都需要带有根证书和client key和client的证书
kubernetes apiserver认证 1相关推荐
- kubernetes apiserver认证
kubernetes认证 Kubernetes集群的操作可以通过apiserver来进行操作,kubectl命令最终也是调用的apiserver,如果想要获取对apiserver进行操作,需要先通过其 ...
- Kubernetes APIServer机制概述
断断续续研究Kubernetes代码已经大半年时间了,一直在看APIServer相关的代码,因为API是一个系统的入口,是所有功能对外的抽象体现,同时也是其他组件都依赖的一个组件,处于非常核心的地位, ...
- Kubernetes CKA认证运维工程师笔记-Kubernetes安全
Kubernetes CKA认证运维工程师笔记-Kubernetes安全 1. Kubernetes安全框架 2. 鉴权,授权,准入控制 2.1 鉴权 2.2 授权 2.3 准入控制 3. 基于角色的 ...
- Kubernetes CKA认证运维工程师笔记-Kubernetes调度
Kubernetes CKA认证运维工程师笔记-Kubernetes应用程序生命周期管理 1. 创建一个Pod的工作流程 2. Pod中影响调度的主要属性 3. 资源限制对Pod调度的影响 4. no ...
- Kubernetes CKA认证运维工程师笔记-Kubernetes监控与日志
Kubernetes CKA认证运维工程师笔记-Kubernetes监控与日志 1. 查看集群资源状况 2. 监控集群资源利用率 3. 管理K8s组件日志 4. 管理K8s应用日志 1. 查看集群资源 ...
- Kubernetes CKA认证运维工程师笔记-Kubernetes应用程序生命周期管理
Kubernetes CKA认证运维工程师笔记-Kubernetes应用程序生命周期管理 1. 在Kubernetes中部署应用流程 2. 使用Deployment部署Java应用 2.1 Pod与D ...
- vault-使用kubernetes作为认证后端
vault使用kubernetes认证 配置 vault可以使用kubernetes的serviceaccount进 行认证 #在kubernetes为vault创建serviceaccount账号, ...
- WiseCloud成为全球首批Kubernetes官方认证平台产品-CNCF官方发布
[新闻快讯]11月13日美国时间,CNCF在旧金山正式对外发布Kubernetes软件一致性项目,并对外公布了包括睿云智合WiseCloud在内的全球32家率先通过认证测试的平台产品及Kubernet ...
- WiseCloud成为全球首批Kubernetes官方认证平台产品-睿云智合
11月13日美国时间,CNCF在旧金山正式对外发布Kubernetes软件一致性项目,并对外公布了包括睿云智合WiseCloud在内的全球32家率先通过认证测试的平台产品及Kubernetest分发版 ...
最新文章
- 对称加密DES和TripleDES
- SQL Server 个人手册
- 电脑组装笔记:手把手教你如何自己组装电脑
- linux c之命名管道简单使用
- spring 国际化-i18n
- Oracle数据库中正确的导入dmp数据库文件
- 使用触发器记录oracle用户登陆信息
- 内涵! 程序员才懂的动图(太 TM 形象了)
- Android 3.0“.NET研究”七大特性全解析
- 【翻译工具】如何复活谷歌翻译(网页翻译)
- STL之容器deque
- SwiftUI AVKit 之合并和叠加音频mp3 并输出
- python国际象棋ai程序_用 Python 编写一个国际象棋 AI 程序
- python一键替换_python 实现批量替换文本中的某部分内容
- 投身物联网创业6个月,我是如何选择 IoT 物联网平台的?
- 英文RouterOS秒变中文版
- 车企数字化转型研究:如何实现“以用户为中心”的数字化转型?
- 【生态资讯】Codugh的BSV新token将助力开发者从其API中获利
- CAD Cass中高程点那个块gc200 炸开
- apicloud前后端分离实现支付宝支付
热门文章
- 【五】Jmeter:函数助手
- windows.old可以删除吗_C盘里的文件夹都有何用?可以删除吗?哪些可以删除?
- [Spring+Hibernate系列] 3.开发环境快速Ant 部署
- Java 性能优化系列之3.1[JVM调优]
- Java 中使用JDBC连接数据库例程与注意事项
- Ext3 -- Form 实例。 用来migrate file 数据到DB用的
- 自己动手写Docker系列 -- 4.1使用busybox创建容器
- Soul网关源码阅读(九)插件配置加载初探
- 路由器距离向量算法计算举例_文本去重算法:Minhash/Simhash/Klongsent
- 深海迷航创造模式火箭怎么飞_深海迷航被玩成养鱼游戏 奇葩玩家的养殖之路...