kubernetes中安全機(jī)制API Server認(rèn)證之Service Account Token的示例分析

這篇文章主要介紹了kubernetes中安全機(jī)制API Server認(rèn)證之Service Account Token的示例分析，具有一定借鑒價(jià)值，感興趣的朋友可以參考下，希望大家閱讀完這篇文章之后大有收獲，下面讓小編帶著大家一起了解一下。

一：前言
Kubernetes有User Account和Service Account兩套獨(dú)立的賬號(hào)系統(tǒng)。
1.User Account是給人用的，Service Account 是給Pod 里的進(jìn)程使用的，面向的對(duì)象不同。
2.User Account是全局性的，Service Account 是屬于某個(gè)具體的Namespace
3.User Account是與后端的用戶數(shù)據(jù)庫(kù)同步的。

二：Kubernetes API Server簡(jiǎn)介

Kubernetes API Server通過一個(gè)名為kube-apiserver的進(jìn)程提供服務(wù)，該進(jìn)程運(yùn)行在Master節(jié)點(diǎn)上。在默認(rèn)情況下，kube-apiserver進(jìn)程在本機(jī)的8080端口（--insecure-port）提供REST服務(wù)。我們可以同時(shí)啟動(dòng)HTTPS安全端口（--secure=6443）來啟動(dòng)安全機(jī)制，加強(qiáng)REST API訪問的安全性。

通常我們使用kubectl來與Kubernetes API Server交互，它們之間的接口是REST調(diào)用。也可以使用curl命令行工具進(jìn)行快速驗(yàn)證。

另外是通過編程的方式調(diào)用Kubernetes API Server 具體又細(xì)分為以下兩種場(chǎng)景：

1.     運(yùn)行在POD里的進(jìn)程調(diào)用Server API. Pod中的進(jìn)程如何指定API Server的訪問地址呢?答案很簡(jiǎn)單，因?yàn)镵ubernetes API Server本身也是一個(gè)Service,它的名字是“kubernetes”,IP地址是ClusterIP地址池里面的第一個(gè)地址。服務(wù)端口是HTTPS端口443.

2.       開發(fā)基于Kubernetes的管理平臺(tái)，比如調(diào)用Kubernetes API來完成Pod,Service,RC等資源對(duì)象的圖形化創(chuàng)建和管理界面。可采用社區(qū)中相關(guān)的Client Library.

正常情況下，為了確保Kubernetes集群的安全，API Server都會(huì)對(duì)客戶端進(jìn)行身份認(rèn)證，認(rèn)證失敗則無(wú)法調(diào)用API。此外，Pod中訪問Kubernetes API Server服務(wù)的時(shí)候，是以Service方式訪問服務(wù)名為kubernetes的這個(gè)服務(wù)，而kubernetes服務(wù)又只在HTTPS 443上提供服務(wù)，那么如何進(jìn)行身份認(rèn)證呢？ 答案是 Service Account Token.

三： Service  Account

公鑰證書，用于Pod中的Process對(duì)API Server的服務(wù)端數(shù)字證書進(jìn)行校驗(yàn)時(shí)使用的）,namespace和token被放到了容器內(nèi)，這樣容器就可以通過https的請(qǐng)求訪問apiserver了。

四：

API Server的service account驗(yàn)證過程

以kube-system namespace下的“default” service account為例，Pod的usrname全稱為：system:serviceaccount:kube-system:default。有了username，那么credentials呢？就是上面提到的service-account-token中的token。API Server的驗(yàn)證環(huán)節(jié)支持多種身份校驗(yàn)方式：CA 證書認(rèn)證、Token 認(rèn)證、Base 認(rèn)證。一旦API Server發(fā)現(xiàn)client發(fā)起的request使用的是service account token的方式，API Server就會(huì)自動(dòng)采用signed bearer token方式進(jìn)行身份校驗(yàn)。而request就會(huì)使用攜帶的service account token參與驗(yàn)證。該token是API Server在創(chuàng)建service account時(shí)用API server啟動(dòng)參數(shù)：–service-account-key-file的值簽署(sign)生成的。如果–service-account-key-file未傳入任何值，那么將默認(rèn)使用–tls-private-key-file的值，即API Server的私鑰。

五：

Secret

Kubernetes提供了Secret來處理敏感信息，目前Secret的類型有3種： 

1.Opaque(default): 任意字符串 
2.kubernetes.io/service-account-token: 作用于ServiceAccount，就是上面說的。 
3.kubernetes.io/dockercfg: 作用于Docker registry，用戶下載docker鏡像認(rèn)證使用。

每個(gè)Namespace下有一個(gè)名為default的默認(rèn)的Service Account對(duì)象，這個(gè)Service Account里面有一個(gè)名為Tokens的可以當(dāng)作Volume一樣被Mount到Podcast里的Secret,當(dāng)Pod 啟動(dòng)時(shí)，這個(gè)Secret會(huì)自動(dòng)被Mount到Pod的指定目錄下，用來協(xié)助完成Pod中的進(jìn)程訪問API Server時(shí)的身份鑒權(quán)過程。

感謝你能夠認(rèn)真閱讀完這篇文章，希望小編分享的“kubernetes中安全機(jī)制API Server認(rèn)證之Service Account Token的示例分析”這篇文章對(duì)大家有幫助，同時(shí)也希望大家多多支持億速云，關(guān)注億速云行業(yè)資訊頻道，更多相關(guān)知識(shí)等著你來學(xué)習(xí)!