Kubernetes Part3 ---- 远程访问之RBAC

通过前面两章的配置我们部署了K8S群集以及部署了K8S的官方Dashboard使得能够通过界面进行简单的操作和查看，这一章我们来实现远程访问控制（毕竟不是所有的操作都得从master上进行操作）K8S实现客户端远程访问的方式主要通过RBAC实现。

RBAC是什么

RBAC（Role-Based Access Control，基于角色的访问控制），允许通过Kubernetes API动态配置策略。

K8S 资源有两个角度：

群集角度：访问群集资源

应用角度：访问Namespace以及POD

所有的授权都是基于这两个操作类型对象进行的

RBAC实现方式

RBAC 有三个很重要的概念

角色（操作对象以及权限的集合）比如：虚拟机是对象 PowerOff是操作 PowerOff虚拟机即权限那么PowerOff虚拟机和PowerOn虚拟机多个权限加在一起就是角色。 K8S里面有两种类型的角色 Role和ClusterRole

•Role：授权特定命名空间的访问权限

•ClusterRole：授权所有命名空间的访问权限

主体（subject 执行权限的实体）执行角色的实体这里通常是指用户用户的来源可以是AD的用户也可以是本地账户，比如我们再域控里面创建了一个账户karry. 显然K8S的用户来源更丰富一些简单总结来说有这三种类型

•User：用户（本地或AD或LDAP）

•Group：用户组（本地或AD或LDAP）

•ServiceAccount：服务账号（第三方集成时创建比如我们会为Calico plugin创建服务账户 Dashboard Plugin也创建服务账户）

角色绑定（将角色与主体绑定）

•RoleBinding：将角色绑定到主体（即subject）

•ClusterRoleBinding：将集群角色绑定到主体

举例说明一下：我们想要实现账号karry对K8S 里面的default namespace具有读取权限我们需要做以下用伪代码解释一下

1. 创建角色 role （对象为default namespace，操作为 read）

kind: role

　　name: role01

　　object: default-namespace

　　action: read

2. 创建账户 karry (本地创建或从第三方读取总之能够被K8S群集访问到)

kind: user

　　name: karry

3. 角色和账户绑定

kind: rolebinding

　　role: role01

　　subject: karry

一张图总结

RBAC DEMO

示例：为karry用户授权default命名空间Pod读取权限

1.用K8S CA签发客户端证书

cat > ca-config.json <<EOF
{
  "signing": {
    "default": {
      "expiry": "87600h"
    },
    "profiles": {
      "kubernetes": {
        "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"
        ],
        "expiry": "87600h"
      }
    }
  }
}
EOF

cat > karry-csr.json <<EOF
{
  "CN": "karry",
  "hosts": [],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "ST": "BeiJing",
      "L": "BeiJing",
      "O": "k8s",
      "OU": "System"
    }
  ]
}
EOF

cfssl gencert -ca=/etc/kubernetes/pki/ca.crt -ca-key=/etc/kubernetes/pki/ca.key -config=ca-config.json -profile=kubernetes karry-csr.json | cfssljson -bare karry

　注：配置cfssl

wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64
chmod +x cfssl*
mv cfssl_linux-amd64 /usr/bin/cfssl
mv cfssljson_linux-amd64 /usr/bin/cfssljson
mv cfssl-certinfo_linux-amd64 /usr/bin/cfssl-certinfo

2.生成kubeconfig授权文件

kubectl config set-cluster kubernetes 
  --certificate-authority=/etc/kubernetes/pki/ca.crt 
  --embed-certs=true 
  --server=https://172.16.0.13:6443 
  --kubeconfig=karry.kubeconfig
 
# 设置客户端认证
kubectl config set-credentials karry 
  --client-key=karry-key.pem 
  --client-certificate=karry.pem 
  --embed-certs=true 
  --kubeconfig=karry.kubeconfig

# 设置默认上下文
kubectl config set-context kubernetes 
  --cluster=kubernetes 
  --user=karry 
  --kubeconfig=karry.kubeconfig

# 设置当前使用配置
kubectl config use-context kubernetes --kubeconfig=karry.kubeconfig

3.创建RBAC权限策略

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: default
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "watch", "list"]

---

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: read-pods
  namespace: default
subjects:
- kind: User
  name: karry
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

　4.验证

kubectl get pods--kubeconfig=./karry.kubeconfig

[root@k8s-master03 tmp]# kubectl get pods --kubeconfig=./karry.kubeconfig
NAME                                 READY   STATUS    RESTARTS   AGE
green-shop-apache-5c6f79ff49-n67b6   1/1     Running   0          18d
nginx-6799fc88d8-wkftx               1/1     Running   0          26d

　　kubectl get namespaces --kubeconfig=./karry.kubeconfig

Error from server (Forbidden): namespaces is forbidden: User "karry" cannot list resource "namespaces" in API group "" at the cluster scope