2019獨(dú)角獸企業(yè)重金招聘Python工程師標(biāo)準(zhǔn)>>>

背景介紹

在Kubernetes1.5中，對(duì)于kubelet新增加了幾個(gè)同認(rèn)證/授權(quán)相關(guān)的幾個(gè)啟動(dòng)參數(shù)，分別是：

認(rèn)證相關(guān)參數(shù)：

anonymous-auth參數(shù)：是否啟用匿名訪問(wèn)，可以選擇true或者false，默認(rèn)是true，表示啟用匿名訪問(wèn)。authentication-token-webhook參數(shù)：使用tokenreviewAPI來(lái)進(jìn)行令牌認(rèn)證。authentication-token-webhook-cache-ttl參數(shù)：webhook令牌認(rèn)證緩存響應(yīng)時(shí)長(zhǎng)。client-ca-file參數(shù)：表示使用x509證書(shū)認(rèn)證，如果設(shè)置此參數(shù)，那么就查找client-ca-file參數(shù)設(shè)置的認(rèn)證文件，任何請(qǐng)求只有在認(rèn)證文件中存在的對(duì)應(yīng)的認(rèn)證，那么才可以正常訪問(wèn)。

授權(quán)相關(guān)參數(shù)：

authorization-mode參數(shù)：kubelet的授權(quán)模式，可以選擇AlwaysAllow或者Webhook，如果設(shè)置成Webhook，那么使用SubjectAccessReviewAPI進(jìn)行授權(quán)。authorization-webhook-cache-authorized-ttl參數(shù)：webhook授權(quán)時(shí)，已經(jīng)被授權(quán)內(nèi)容的緩存時(shí)長(zhǎng)。authorization-webhook-cache-unauthorized-ttl參數(shù)：webhook授權(quán)時(shí)，沒(méi)有被授權(quán)內(nèi)容的緩存時(shí)長(zhǎng)。

認(rèn)證

默認(rèn)anonymous-auth參數(shù)設(shè)置成true，也就是可以進(jìn)行匿名認(rèn)證，這時(shí)對(duì)kubelet API的請(qǐng)求都以匿名方式進(jìn)行，系統(tǒng)會(huì)使用默認(rèn)匿名用戶和默認(rèn)用戶組來(lái)進(jìn)行訪問(wèn)，默認(rèn)用戶名“system:anonymous”，默認(rèn)用戶組名“system:unauthenticated”。

可以禁止匿名請(qǐng)求，這時(shí)就需要設(shè)置kubelet啟動(dòng)參數(shù)：“–anonymous-auth=false”，這時(shí)如果請(qǐng)求時(shí)未經(jīng)過(guò)認(rèn)證的，那么會(huì)返回“401 Unauthorized”。

可以使用x509證書(shū)認(rèn)證（X.509格式的證書(shū)是最通用的一種簽名證書(shū)格式）。這時(shí)就需要設(shè)置kubelet啟動(dòng)參數(shù)：“–client-ca-file”，提供認(rèn)證文件，通過(guò)認(rèn)證文件來(lái)進(jìn)行認(rèn)證。同時(shí)還需要設(shè)置api server組件啟動(dòng)參數(shù)：“–kubelet-client-certificate”和“–kubelet-client-key”。在認(rèn)證文件中一個(gè)用戶可以屬于多個(gè)用戶組，比如下面例子產(chǎn)生的認(rèn)證：

openssl req -new -key jbeda.pem -outjbeda-csr.pem -subj “/CN=jbeda/O=app1/O=app2”

這個(gè)例子創(chuàng)建了csr認(rèn)證文件，這個(gè)csr認(rèn)證文件作用于用戶jbeda，這個(gè)用戶屬于兩個(gè)用戶組，分別是app1和app2。

可以啟用令牌認(rèn)證，這時(shí)需要通過(guò)命令“–runtime-config=authentication.k8s.io/v1beta1=true“啟用api server組件authentication.k8s.io/v1beta1相關(guān)的API，還需要啟用kubelet組件的“–authentication-token-webhook”、“–kubeconfig”、“–require-kubeconfig”三個(gè)參數(shù)。

kubeconfig參數(shù)：設(shè)置kubelet配置文件路徑，這個(gè)配置文件用來(lái)告訴kubelet組件api server組件的位置，默認(rèn)路徑是。

require-kubeconfig參數(shù)：這是一個(gè)布爾類型參數(shù)，可以設(shè)置成true或者false，如果設(shè)置成true，那么表示啟用kubeconfig參數(shù)，從kubeconfig參數(shù)設(shè)置的配置文件中查找api server組件，如果設(shè)置成false，那么表示使用kubelet另外一個(gè)參數(shù)“api-servers”來(lái)查找api server組件位置。

在kubernetes源代碼中，有一個(gè)錯(cuò)誤的注釋：

func NewKubeletServer() *KubeletServer {versioned:= &v1alpha1.KubeletConfiguration{}api.Scheme.Default(versioned)config:= componentconfig.KubeletConfiguration{}api.Scheme.Convert(versioned,&config, nil)return&KubeletServer{KubeConfig: flag.NewStringFlag(“/var/lib/kubelet/kubeconfig”),RequireKubeConfig: false, // in 1.5, default to trueKubeletConfiguration:config,}}

這里面對(duì)RequireKubeConfig參數(shù)默認(rèn)值的設(shè)置是false，但是在注釋中寫(xiě)的確實(shí)true。

啟用令牌認(rèn)證后，kubelet會(huì)調(diào)用TokenReview API來(lái)進(jìn)行令牌認(rèn)證。

下面是一個(gè)kubeconfig文件格式樣例：

clusters:-name: name-of-remote-authn-servicecluster:certificate-authority: /path/to/ca.pem # 校驗(yàn)遠(yuǎn)程服務(wù)的認(rèn)證文件server: https://authn.example.com/authenticate # 遠(yuǎn)程服務(wù)訪問(wèn)https路徑users:-name: name-of-api-serveruser:client-certificate: /path/to/cert.pem # webhook插件使用的認(rèn)證文件client-key: /path/to/key.pem # 認(rèn)證文件對(duì)應(yīng)的密鑰文件current-context: webhookcontexts:– context:cluster: name-of-remote-authn-serviceuser: name-of-api-severname: webhook

認(rèn)證請(qǐng)求格式樣例如下：

{“apiVersion”: “authentication.k8s.io/v1beta1”,“kind”: “TokenReview”,“spec”: {“token”: “(BEARERTOKEN)”}}

成功的認(rèn)證響應(yīng)如下：

{“apiVersion”: “authentication.k8s.io/v1beta1”,“kind”: “TokenReview”,“status”: {“authenticated”: true,“user”: {“username”: “janedoe@example.com”,“uid”: “42”,“groups”: [“developers”,“qa”],“extra”: {“extrafield1”: [“extravalue1”,“extravalue2”]}}}}

失敗的認(rèn)證響應(yīng)如下：

{“apiVersion”: “authentication.k8s.io/v1beta1”,“kind”: “TokenReview”,“status”: {“authenticated”: false}}

授權(quán)

任何請(qǐng)求被成功認(rèn)證后才會(huì)被授權(quán)，包括匿名認(rèn)證請(qǐng)求。默認(rèn)的授權(quán)模式是AlwaysAllow，意味著允許任何請(qǐng)求。其實(shí)對(duì)于API的請(qǐng)求是需要進(jìn)行更細(xì)粒度劃分和授權(quán)的，有下面兩點(diǎn)原因：

雖然允許匿名用戶請(qǐng)求，但是應(yīng)該限制匿名用戶可以訪問(wèn)的API。

雖然允許認(rèn)證用戶請(qǐng)求，但是不同認(rèn)證用戶應(yīng)該可以訪問(wèn)不同的API，而不能所有認(rèn)證用戶只能訪問(wèn)相同的API。

要想進(jìn)行API權(quán)限控制，需要通過(guò)命令“–runtime-config= authorization.k8s.io /v1beta1=true“啟用api server組件authorization.k8s.io/v1beta1相關(guān)的API，還需要將授權(quán)模式參數(shù)“–authorization-mode”設(shè)置成Webhook，然后啟用kubelet組件的“–kubeconfig”和“–require-kubeconfig”兩個(gè)參數(shù)，這兩個(gè)參數(shù)的作用在上面認(rèn)證章節(jié)已經(jīng)詳細(xì)介紹過(guò)了，這里不再介紹。

Kubelet接著就會(huì)調(diào)用api server組件的SubjectAccessReviewAPI來(lái)判斷哪個(gè)請(qǐng)求需要進(jìn)行授權(quán)控制。

請(qǐng)求動(dòng)作類型是根據(jù)HTTP訪問(wèn)類型進(jìn)行劃分的，如下面表格所示：

HTTP verb request verb POST create GET, HEAD get PUT update PATCH patch DELETE delete

資源訪問(wèn)請(qǐng)求是根據(jù)不同請(qǐng)求路徑來(lái)進(jìn)行劃分的，如下面表格所示：

Kubelet API 資源名稱 子資源名稱 /stats/* nodes stats /metrics/* nodes metrics /logs/* nodes log /spec/* nodes spec all others nodes proxy

對(duì)于資源訪問(wèn)請(qǐng)求，訪問(wèn)時(shí)名字空間和API組這兩個(gè)屬性永遠(yuǎn)都是空值，資源名稱的屬性值就是kubelet所在節(jié)點(diǎn)對(duì)象名稱。

要是想讓kubelete API可以進(jìn)行權(quán)限控制，還需要確保api server組件已經(jīng)啟用了“–kubelet-client-certificate”和“–kubelet-client-key”連個(gè)參數(shù)，

kubelet-client-certificate參數(shù)：客戶端認(rèn)證文件路徑

kubelet-client-key參數(shù)：客戶端密鑰文件路徑

還確保客戶端被授權(quán)可以訪問(wèn)下面屬性：

verb=*, resource=nodes,subresource=proxyverb=*, resource=nodes, subresource=statsverb=*, resource=nodes,subresource=logverb=*, resource=nodes,subresource=specverb=*, resource=nodes,subresource=metrics

總結(jié)

Kubernetes1.5中增加了kubele API的認(rèn)證和授權(quán)功能，從中可以發(fā)現(xiàn)社區(qū)對(duì)K8S在生產(chǎn)環(huán)節(jié)中安全性的設(shè)計(jì)日趨完善，也說(shuō)明有越來(lái)越多的客戶在生產(chǎn)環(huán)境中使用K8S了。經(jīng)常訪問(wèn)K8S社區(qū)就會(huì)發(fā)現(xiàn)，在基礎(chǔ)功能日趨完善的情況下，K8S社區(qū)現(xiàn)在對(duì)于跨云（Federation）和安全認(rèn)證（Security/Auth）這兩方面有了長(zhǎng)足的進(jìn)步，將來(lái)的K8S會(huì)適合更多的生產(chǎn)環(huán)境，會(huì)成為一款特別受歡迎的容器編排開(kāi)源軟件產(chǎn)品。

轉(zhuǎn)載于:https://my.oschina.net/u/3585265/blog/3035781

總結(jié)

以上是生活随笔為你收集整理的Kubernetes1.5新特性（一）:Kubelet API增加认证和授权能力的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。