容器编排系统K8s之访问控制–RBAC授权

发表评论
355 次浏览

A+

摘要

　　前文我们了解了k8s上的访问控制机制，主要对访问控制中的第一关用户认证做了相关说明以及常规用户的配置文件的制作，回顾请参考：https://www.cnblogs.com/qiuhom-1874/p/14207381.html；今天我们来了解下k8s上的访问控制第二关RBAC授权相关话题；

便宜好用的国外VPS推荐

　　在k8s上授权的机制有很多，最常用的有ABAC和RBAC；ABAC（attribute based access control）这种是基于属性做访问控制；RBAC（role based access control）这种是基于角色做访问控制；所谓基于属性做访问控制是指，对k8s上的资源的某种属性做授权，授权给相关用户对该资源的某个属性有什么权限；同样的逻辑基于角色做访问控制就是指把k8s上的资源，授权给对应角色有什么权限；那角色和用户有什么关系呢？对于RBAC授权模型来说，在k8s上用户是没法直接关联资源；它是通过角色对象来实现对资源的授权；用户授权是通过角色绑定对象来关联到对应角色；只要用户绑定到对应角色，那么该用户就拥有绑定角色上的所有权限；比如，在k8s上有一个角色名为pod-reader，这个角色能够对default名称空间下的pod资源有只读权限；对其他名称空间任何资源没有任何权限；如果一个用户绑定到该角色上，对应用户就有对default名称空间下的pod资源拥有只读权限，对其他名称空间任何资源没有任何权限；对于k8s上的资源来说，资源有两个级别，一个是名称空间级别的资源，一个是集群级别的资源；比如pod，svc，pvc等等这些资源都是名称空间级别资源，它们的存在必须是在某个名称空间下；对于类似像pv，node，ns这些资源就是集群级别资源，它们的存在不依赖任何名称空间；这样一来对于角色而言就有名称空间级别的角色，也有集群级别角色；名称空间级别的角色就是用来定义特定名称空间下的资源权限，集群级别角色就是用来定义整个集群上的资源权限；在k8s上这两种角色分别叫role和clusterrole；role和clusterrole都是k8s上的资源，我们要给某个用户授权，首先把对应角色资源实例化为一个角色对象，然后把用户和角色对象绑定起来即可；用户怎么绑定到角色上呢？在k8s上绑定这个操作也是通过资源对象实现的；绑定也有两种，一种是rolebinding，一种是clusterrolebinding；rolebinding是名称空间级别资源，它主要用来把对应用户和对应名称空间上的角色（role）做绑定；对应用户就能拥有对应角色在对应名称空间下对应资源的权限；clusterrolebinding主要用来把用户绑定到集群级别角色（clusterrole）上，对应用户就能拥有对整个集群上的对应角色拥有的对应资源的权限；简单讲角色(role/clusterrole)就是用来定义资源的权限，rolebinding和clusterrolebinding是用来关联用户和角色的关系；如下图所示；

容器编排系统K8s之访问控制--RBAC授权

　　提示：这里需要注意一点，clusterrole是包含名称空间级别的role；也就是说clusterrole既可以用clusterrolebinding来绑定，也可以用rolebinding来绑定，如果rolebinding绑定的是一个集群级别的角色（clusterrole）那么对应绑定至clusterrole的用户的权限就会缩小到对应名称空间下，而非整个集群，原因是rolebinding是名称空间级别资源；

　　查看apiserver启用授权插件

容器编排系统K8s之访问控制--RBAC授权

　　提示：apiserver配置启用RBAC插件需要用--authorization-mode选项来指定对应启用的授权插件，在k8s1.6以后的版本，默认apiserver会启用Node和RBAC授权插件；

　　创建角色

　　使用陈述时命令create，创建角色的语法格式

Usage:   kubectl create role NAME --verb=verb --resource=resource.group/subresource [--resource-name=resourcename] [--dry-run=server|client|none] [options]

　　提示：以上create role表示创建的是名称空间级别的角色，如果没有指定其名称空间表示默认名称空间；--verb是用来指定对应的权限，比如get，list，watch等等；--resource使用来指定资源资源类型，比如pods，services，daemonsets，replicasets等等；--resource-name用来指定对应具体的资源的名称；如果要指定名称空间使用-n选项指定即可；默认不指定表示default名称空间；

　　示例：使用陈述时命令创建名为pod-reader的角色，该角色拥有对default名称空间下的pod资源有list，get和watch权限；

[root@master01 ~]# kubectl create role pod-reader --verb=list --verb=get --verb=watch --resource=pods  role.rbac.authorization.k8s.io/pod-reader created [root@master01 ~]# kubectl get role NAME         CREATED AT pod-reader   2020-12-31T11:27:39Z [root@master01 ~]# kubectl describe role pod-reader Name:         pod-reader Labels:       <none> Annotations:  <none> PolicyRule:   Resources  Non-Resource URLs  Resource Names  Verbs   ---------  -----------------  --------------  -----   pods       []                 []              [list get watch] [root@master01 ~]#

　　提示：可以看到pod-reader角色对pods资源有list,get，watch权限；

　　使用陈述式命令创建clusterrole

　　命令使用语法格式

Usage:   kubectl create clusterrole NAME --verb=verb --resource=resource.group [--resource-name=resourcename] [--dry-run=server|client|none] [options]

　　提示：使用语法和创建名称空间级别的角色一样，不同的是指定创建的是clusterrole；

　　示例：创建一个名为cluster-pods-reader角色，拥有对集群所有名称空间下的pods和servers资源有get，list，watch权限；

[root@master01 ~]# kubectl create clusterrole cluster-pods-reader --verb=get --verb=list --verb=watch --resource=pods --resource=services clusterrole.rbac.authorization.k8s.io/cluster-pods-reader created [root@master01 ~]# kubectl get clusterrole cluster-pods-reader NAME                  CREATED AT cluster-pods-reader   2020-12-31T11:35:03Z [root@master01 ~]# kubectl describe clusterrole cluster-pods-reader Name:         cluster-pods-reader Labels:       <none> Annotations:  <none> PolicyRule:   Resources  Non-Resource URLs  Resource Names  Verbs   ---------  -----------------  --------------  -----   pods       []                 []              [get list watch]   services   []                 []              [get list watch] [root@master01 ~]#

　　提示：可以看到cluster-pods-reader角色有对pods资源和services资源有get,list,watch权限；

　　创建rolebinding

　　命令语法格式

Usage:   kubectl create rolebinding NAME --clusterrole=NAME|--role=NAME [--user=username] [--group=groupname] [--serviceaccount=namespace:serviceaccountname] [--dry-run=server|client|none] [options]

　　提示：创建rolebinding需要指定对应的名称，指定clusterrole或者role角色的名称，指定对应的用户名称，或者对应的组名；如果对应用户是sa账号，需要用--serviceaccount选项来指定对应sa的名称；sa的名称由名称空间：sa名称；如果要指定名称空间使用-n选项指定即可；默认不指定表示default名称空间；

　　示例：创建名为tom-pods-reader的rolebinding，其中指定对应tom用户绑定至pod-reader角色

[root@master01 ~]# kubectl create rolebinding  tom-pods-reader --role=pod-reader --user=tom  rolebinding.rbac.authorization.k8s.io/tom-pods-reader created [root@master01 ~]# kubectl get rolebinding NAME              ROLE              AGE tom-pods-reader   Role/pod-reader   5s [root@master01 ~]# kubectl describe rolebinding tom-pods-reader Name:         tom-pods-reader Labels:       <none> Annotations:  <none> Role:   Kind:  Role   Name:  pod-reader Subjects:   Kind  Name  Namespace   ----  ----  ---------   User  tom    [root@master01 ~]#

　　提示；这里没有显示名称空间是那个名称空间；默认没有显示就是default名称空间；

　　验证：使用tom用户的配置文件，看看是否可以列出default名称空间下的pod列表呢？

[root@master01 ~]# kubectl config view --kubeconfig=/tmp/myk8s.config apiVersion: v1 clusters: - cluster:     certificate-authority-data: DATA+OMITTED     server: https://192.168.0.41:6443   name: myk8s contexts: - context:     cluster: myk8s     user: tom   name: tom@myk8s current-context: tom@myk8s kind: Config preferences: {} users: - name: tom   user:     client-certificate-data: REDACTED     client-key-data: REDACTED     username: tom [root@master01 ~]# kubectl get pod --kubeconfig=/tmp/myk8s.config     NAME             READY   STATUS    RESTARTS   AGE nginx-pod-demo   1/1     Running   1          44h web-0            1/1     Running   2          2d21h web-1            1/1     Running   2          2d21h web-2            1/1     Running   2          2d21h web-3            1/1     Running   3          2d21h [root@master01 ~]#

　　提示：可以看到使用tom用户的配置文件，使用kubectl工具加载对应配置文件，在default名称空间下是可以正常列出pod列表；

　　验证：使用tom的配置文件看看是否列出kube-system名称空间下的pod列表呢？

[root@master01 ~]# kubectl get pod -n kube-system --kubeconfig=/tmp/myk8s.config  Error from server (Forbidden): pods is forbidden: User "tom" cannot list resource "pods" in API group "" in the namespace "kube-system" [root@master01 ~]#

　　提示：可以看到对应tom用户是没有权限列出kube-system名称空间下的pod资源；

　　创建clusterrolebinding

　　命令使用语法格式

Usage:   kubectl create clusterrolebinding NAME --clusterrole=NAME [--user=username] [--group=groupname] [--serviceaccount=namespace:serviceaccountname] [--dry-run=server|client|none] [options]

　　提示：使用方式和创建rolebinding一样，不同的是clusterrolebinding不能关联role角色；

　　示例：创建名为tom-all-pod-reader的clusterrolebinding，并关联cluster-pods-reader角色和tom用户；

[root@master01 ~]# kubectl create clusterrolebinding tom-all-pod-reader --clusterrole=cluster-pods-reader --user=tom clusterrolebinding.rbac.authorization.k8s.io/tom-all-pod-reader created [root@master01 ~]# kubectl get clusterrolebinding tom-all-pod-reader NAME                 ROLE                              AGE tom-all-pod-reader   ClusterRole/cluster-pods-reader   20s [root@master01 ~]# kubectl describe clusterrolebinding tom-all-pod-reader Name:         tom-all-pod-reader Labels:       <none> Annotations:  <none> Role:   Kind:  ClusterRole   Name:  cluster-pods-reader Subjects:   Kind  Name  Namespace   ----  ----  ---------   User  tom    [root@master01 ~]#

　　验证：使用tom用户配置文件查看kube-system名称空间下的pod资源列表

[root@master01 ~]# kubectl get pod -n kube-system --kubeconfig=/tmp/myk8s.config  NAME                                       READY   STATUS    RESTARTS   AGE coredns-7f89b7bc75-k9gdt                   1/1     Running   18         23d coredns-7f89b7bc75-kp855                   1/1     Running   16         23d etcd-master01.k8s.org                      1/1     Running   22         23d kube-apiserver-master01.k8s.org            1/1     Running   17         23d kube-controller-manager-master01.k8s.org   1/1     Running   19         23d kube-flannel-ds-cx8d5                      1/1     Running   20         23d kube-flannel-ds-jz6r4                      1/1     Running   11         12d kube-flannel-ds-ndzl6                      1/1     Running   21         23d kube-flannel-ds-rjtn9                      1/1     Running   23         23d kube-flannel-ds-zgq92                      1/1     Running   20         23d kube-proxy-cr8j8                           1/1     Running   13         11d kube-proxy-h8fzw                           1/1     Running   8          11d kube-proxy-jfzfh                           1/1     Running   9          11d kube-proxy-rq8wl                           1/1     Running   8          11d kube-proxy-sj72v                           1/1     Running   8          11d kube-scheduler-master01.k8s.org            1/1     Running   19         23d [root@master01 ~]# kubectl get pod  --kubeconfig=/tmp/myk8s.config                NAME             READY   STATUS    RESTARTS   AGE nginx-pod-demo   1/1     Running   1          44h web-0            1/1     Running   2          2d21h web-1            1/1     Running   2          2d21h web-2            1/1     Running   2          2d21h web-3            1/1     Running   3          2d22h [root@master01 ~]# kubectl get svc --kubeconfig=/tmp/myk8s.config NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE kubernetes   ClusterIP   10.96.0.1    <none>        443/TCP   3d1h nginx        ClusterIP   None         <none>        80/TCP    3d [root@master01 ~]# kubectl get svc -n kube-system --kubeconfig=/tmp/myk8s.config NAME       TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)                  AGE kube-dns   ClusterIP   10.96.0.10   <none>        53/UDP,53/TCP,9153/TCP   23d [root@master01 ~]#

　　提示：可以看到把tom用户用clusterrolebinding关联到对应clusterrole角色上，就拥有对应角色上的权限；

　　验证：使用tom配置文件查看pv或node集群级别资源，看看是否可以正常列出？

[root@master01 ~]# kubectl get pv --kubeconfig=/tmp/myk8s.config Error from server (Forbidden): persistentvolumes is forbidden: User "tom" cannot list resource "persistentvolumes" in API group "" at the cluster scope [root@master01 ~]# kubectl get node --kubeconfig=/tmp/myk8s.config Error from server (Forbidden): nodes is forbidden: User "tom" cannot list resource "nodes" in API group "" at the cluster scope [root@master01 ~]#

　　提示：使用tom用户的配置文件查看pv和node资源，apiserver直接拒绝了；原因是对应的clusterrole角色上没有查看pv和node的权限；所以对应用户也就没有相应的查看权限；

　　示例：创建rolebinding，把tom用户关联到clusterrole类型角色cluster-pods-reader

[root@master01 ~]# kubectl create rolebinding tom-rolebinding-clusterrole --clusterrole=cluster-pods-reader --user=tom  rolebinding.rbac.authorization.k8s.io/tom-rolebinding-clusterrole created [root@master01 ~]# kubectl get rolebinding NAME                          ROLE                              AGE tom-pods-reader               Role/pod-reader                   20m tom-rolebinding-clusterrole   ClusterRole/cluster-pods-reader   12s [root@master01 ~]# kubectl describe rolebinding tom-rolebinding-clusterrole Name:         tom-rolebinding-clusterrole Labels:       <none> Annotations:  <none> Role:   Kind:  ClusterRole   Name:  cluster-pods-reader Subjects:   Kind  Name  Namespace   ----  ----  ---------   User  tom    [root@master01 ~]#

　　验证：使用tom配置文件，看看现在tom用户是否还有对应kube-system中的pod资源有列出权限呢？

[root@master01 ~]# kubectl get pods -n kube-system --kubeconfig=/tmp/myk8s.config NAME                                       READY   STATUS    RESTARTS   AGE coredns-7f89b7bc75-k9gdt                   1/1     Running   18         23d coredns-7f89b7bc75-kp855                   1/1     Running   16         23d etcd-master01.k8s.org                      1/1     Running   22         23d kube-apiserver-master01.k8s.org            1/1     Running   17         23d kube-controller-manager-master01.k8s.org   1/1     Running   19         23d kube-flannel-ds-cx8d5                      1/1     Running   20         23d kube-flannel-ds-jz6r4                      1/1     Running   11         12d kube-flannel-ds-ndzl6                      1/1     Running   21         23d kube-flannel-ds-rjtn9                      1/1     Running   23         23d kube-flannel-ds-zgq92                      1/1     Running   20         23d kube-proxy-cr8j8                           1/1     Running   13         11d kube-proxy-h8fzw                           1/1     Running   8          11d kube-proxy-jfzfh                           1/1     Running   9          11d kube-proxy-rq8wl                           1/1     Running   8          11d kube-proxy-sj72v                           1/1     Running   8          11d kube-scheduler-master01.k8s.org            1/1     Running   19         23d [root@master01 ~]#

　　提示：这里还是能够列出kube-system名称空间下的pod，其原因是我们没有删除之前的clusterrolebinding，所以对应tom用户还有对kube-system的权限；

　　验证：删除clusterrolebinding tom-all-pod-reader 看看tom用户是否还有对kube-system中的pod列出权限呢？

[root@master01 ~]# kubectl get clusterrolebinding tom-all-pod-reader NAME                 ROLE                              AGE tom-all-pod-reader   ClusterRole/cluster-pods-reader   14m [root@master01 ~]# kubectl delete clusterrolebinding tom-all-pod-reader clusterrolebinding.rbac.authorization.k8s.io "tom-all-pod-reader" deleted [root@master01 ~]# kubectl get rolebinding NAME                          ROLE                              AGE tom-pods-reader               Role/pod-reader                   27m tom-rolebinding-clusterrole   ClusterRole/cluster-pods-reader   7m7s [root@master01 ~]# kubectl get pods -n kube-system --kubeconfig=/tmp/myk8s.config Error from server (Forbidden): pods is forbidden: User "tom" cannot list resource "pods" in API group "" in the namespace "kube-system" [root@master01 ~]#

　　提示：可以看到此时tom用户就没有对kube-system名称空间下的pod有列出权限了；

　　验证：使用tom用户配置文件，查看default名称空间下的pods和service资源，看看是否有权限？

[root@master01 ~]# kubectl get pods  --kubeconfig=/tmp/myk8s.config               NAME             READY   STATUS    RESTARTS   AGE nginx-pod-demo   1/1     Running   1          45h web-0            1/1     Running   2          2d22h web-1            1/1     Running   2          2d22h web-2            1/1     Running   2          2d22h web-3            1/1     Running   3          2d22h [root@master01 ~]# kubectl get svc  --kubeconfig=/tmp/myk8s.config     NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE kubernetes   ClusterIP   10.96.0.1    <none>        443/TCP   3d1h nginx        ClusterIP   None         <none>        80/TCP    3d [root@master01 ~]#

　　提示：可以看到tom用户在default名称空间下能够正常列出pod和service资源；从上面的示例可以看到当rolebinding绑定的是一个clusterrole，对应clusterrole的权限就会降低至对应rolebinding的名称空间；

　　使用资源清单创建角色

　　示例：使用资源清单创建role-demo角色

[root@master01 ~]# cat role-demo.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata:   name: role-demo   namespace: testing rules: - apiGroups: [""]   resources: ["pods","pods/log","services"]   verbs: ["get","list","watch"]    [root@master01 ~]#

　　提示：role资源没有spec字段，它的群组是rbac.authorization.k8s.io/v1，对应类型为Role；metadata字段中的name用于指定对应role的名称；namespace用户指定对应的名称空间；roles字段用来描述对资源和权限，该字段为一个列表对象，一个对象必须有apiGroup，resources和verbs字段；其中apiGroup字段用来描述对应资源所属群组，默认不写任何群组表示核心群组v1；如果是匹配所有群组可以写成“*”;该字段是一个列表类型数据，所以必须用中括号将其括起来，即便没有值；resources字段用来描述对应的资源，这里的资源如果可以使用复数形式的必须使用复数形式；所谓复数是指对应资源名称单词的复数形式；该字段也是一个列表，可以使用中括号，也可以直接使用-开头写对应的值；verbs字段用来描述对应的权限，该字段也是一个列表，可以使用中括号或者“-”开头从下一行直接写值的方式；上述资源清单表示创建一个名为role-demo的角色在testing名称空间；对应角色拥有对该名称空间下的pod，pods/log和services资源有get,list,watch权限；

　　创建名称空间并应用配置清单

[root@master01 ~]# kubectl get ns NAME              STATUS   AGE default           Active   23d ingress-nginx     Active   9d kube-node-lease   Active   23d kube-public       Active   23d kube-system       Active   23d [root@master01 ~]# kubectl create ns testing namespace/testing created [root@master01 ~]# kubectl apply -f role-demo.yaml role.rbac.authorization.k8s.io/role-demo created [root@master01 ~]# kubectl get role -n testing NAME        CREATED AT role-demo   2020-12-31T12:46:53Z [root@master01 ~]# kubectl describe role role-demo -n testing Name:         role-demo Labels:       <none> Annotations:  <none> PolicyRule:   Resources  Non-Resource URLs  Resource Names  Verbs   ---------  -----------------  --------------  -----   pods/log   []                 []              [get list watch]   pods       []                 []              [get list watch]   services   []                 []              [get list watch] [root@master01 ~]#

　　示例：使用资源清单创建rolebinding

[root@master01 ~]# cat rolebinding-demo.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata:   name: rolebinding-demo   namespace: testing roleRef:   kind: Role   name: role-demo   apiGroup: rbac.authorization.k8s.io subjects: - kind: User   apiGroup: rbac.authorization.k8s.io   name: tom    [root@master01 ~]#

　　提示：使用资源清单创建rolebinding，需要用roleRef字段来指定引用的role或clusterrole，该字段为一个对象，其中kind指定对应角色的类型，Role表示引用名称空间级别的role；ClusterRole表示引用集群级别角色clusterrole；apiGroup是用来描述对应角色的不带版本api群组；subjects字段用来描述对应用户或组，该字段为一个列表对象；其中kind字段用来表示对应的是用户还是用户组；User表示用户，Group表示用户组；ServiceAccount表示是一个sa用户；apiGroup用来指定对应不带版本的api群组；name用来指定用户名或组名或sa名；上述资源清单表示把tom用户和role-demo角色做关联，即授权tom用户拥有role-demo角色的权限；

　　验证：在未应用资源清单前使用tom用户的配置文件查看testing名称空间下的pod资源

[root@master01 ~]# kubectl get pods -n testing --kubeconfig=/tmp/myk8s.config Error from server (Forbidden): pods is forbidden: User "tom" cannot list resource "pods" in API group "" in the namespace "testing" [root@master01 ~]#

　　提示：在未应用上述资源清单，tom用户对testing名称空间的资源没有任何权限；

　　应用资源清单

[root@master01 ~]# kubectl apply -f rolebinding-demo.yaml          rolebinding.rbac.authorization.k8s.io/rolebinding-demo created [root@master01 ~]# kubectl get rolebinding -n testing NAME               ROLE             AGE rolebinding-demo   Role/role-demo   31s [root@master01 ~]# kubectl describe rolebinding rolebinding-demo -n testing Name:         rolebinding-demo Labels:       <none> Annotations:  <none> Role:   Kind:  Role   Name:  role-demo Subjects:   Kind  Name  Namespace   ----  ----  ---------   User  tom    [root@master01 ~]# kubectl get pods -n testing --kubeconfig=/tmp/myk8s.config No resources found in testing namespace. [root@master01 ~]#

　　提示：可以看到应用资源清单以后，再次使用tom用户的配置文件查看testing名称空间下的pod资源，就没有提示没有权限拒绝，只是告诉我们对应名称空间下没有pod资源；

　　示例：使用资源清单创建clusterrole

[root@master01 ~]# cat clusterrole-demo.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata:   name: clusterrole-demo rules: - apiGroups: [""]   resources: ["pods","nodes","PersistentVolume"]   verbs: ["get","list","watch","create","delete"] [root@master01 ~]#

　　提示：使用资源清单创建clusterrole和创建role是一样的格式，不同的是对应kind的值不同，不需要指定名称空间；其他的都一样；

　　应用资源清单

[root@master01 ~]# kubectl apply -f clusterrole-demo.yaml clusterrole.rbac.authorization.k8s.io/clusterrole-demo created [root@master01 ~]# kubectl get clusterrole clusterrole-demo NAME               CREATED AT clusterrole-demo   2020-12-31T13:23:48Z [root@master01 ~]# kubectl describe clusterrole clusterrole-demo Name:         clusterrole-demo Labels:       <none> Annotations:  <none> PolicyRule:   Resources         Non-Resource URLs  Resource Names  Verbs   ---------         -----------------  --------------  -----   PersistentVolume  []                 []              [get list watch create delete]   nodes             []                 []              [get list watch create delete]   pods              []                 []              [get list watch create delete] [root@master01 ~]#

　　示例：使用资源清单创建clusterrolebinding

[root@master01 ~]# cat clusterrolebinding.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata:   name: clusterrolebinding-demo roleRef:   kind: ClusterRole   name: clusterrole-demo   apiGroup: rbac.authorization.k8s.io subjects: - kind: User   apiGroup: rbac.authorization.k8s.io   name: tom    [root@master01 ~]#

　　提示：使用资源清单创建clusterrolebinding和创建rolebinding的格式一样，不同的是创建clusterrolebinding不需要指定名称空间，对应kind值为ClusterRoleBinding；其他字段的使用方式和role一样；上述资源清单表示把tom用户和clusterrole-demo角色做关联；

　　验证：在没有应用资源清单前使用tom配置文件查看kube-system名称空间下的pod资源

[root@master01 ~]# kubectl get pods -n kube-system --kubeconfig=/tmp/myk8s.config Error from server (Forbidden): pods is forbidden: User "tom" cannot list resource "pods" in API group "" in the namespace "kube-system" [root@master01 ~]#

　　提示：没有应用资源清单前使用tom用户的配置文件查看kube-system名称空间下的pod资源，是被apiserver拒绝的；

　　应用配置清单

[root@master01 ~]# kubectl apply -f clusterrolebinding.yaml clusterrolebinding.rbac.authorization.k8s.io/clusterrolebinding-demo created [root@master01 ~]# kubectl get clusterrolebinding clusterrolebinding-demo NAME                      ROLE                           AGE clusterrolebinding-demo   ClusterRole/clusterrole-demo   15s [root@master01 ~]# kubectl describe clusterrolebinding clusterrolebinding-demo Name:         clusterrolebinding-demo Labels:       <none> Annotations:  <none> Role:   Kind:  ClusterRole   Name:  clusterrole-demo Subjects:   Kind  Name  Namespace   ----  ----  ---------   User  tom    [root@master01 ~]# kubectl get pods -n kube-system --kubeconfig=/tmp/myk8s.config            NAME                                       READY   STATUS    RESTARTS   AGE coredns-7f89b7bc75-k9gdt                   1/1     Running   18         23d coredns-7f89b7bc75-kp855                   1/1     Running   16         23d etcd-master01.k8s.org                      1/1     Running   22         23d kube-apiserver-master01.k8s.org            1/1     Running   17         23d kube-controller-manager-master01.k8s.org   1/1     Running   19         23d kube-flannel-ds-cx8d5                      1/1     Running   20         23d kube-flannel-ds-jz6r4                      1/1     Running   11         13d kube-flannel-ds-ndzl6                      1/1     Running   21         23d kube-flannel-ds-rjtn9                      1/1     Running   23         23d kube-flannel-ds-zgq92                      1/1     Running   20         23d kube-proxy-cr8j8                           1/1     Running   13         11d kube-proxy-h8fzw                           1/1     Running   8          11d kube-proxy-jfzfh                           1/1     Running   9          11d kube-proxy-rq8wl                           1/1     Running   8          11d kube-proxy-sj72v                           1/1     Running   8          11d kube-scheduler-master01.k8s.org            1/1     Running   19         23d [root@master01 ~]#

　　提示：可以看到应用资源清单以后，再使用tom用户的配置文件查看kube-system名称空间下的pod就可以正常列出了，说明对应tom用户授权成功；

　　查看系统默认的clusterrole

[root@master01 ~]# kubectl get clusterrole NAME                                                                   CREATED AT admin                                                                  2020-12-08T06:39:13Z cluster-admin                                                          2020-12-08T06:39:13Z cluster-pods-reader                                                    2020-12-31T11:35:03Z clusterrole-demo                                                       2020-12-31T13:23:48Z edit                                                                   2020-12-08T06:39:13Z flannel                                                                2020-12-08T06:59:56Z kubeadm:get-nodes                                                      2020-12-08T06:39:15Z nginx-ingress-clusterrole                                              2020-12-21T15:16:13Z system:aggregate-to-admin                                              2020-12-08T06:39:13Z system:aggregate-to-edit                                               2020-12-08T06:39:13Z system:aggregate-to-view                                               2020-12-08T06:39:13Z system:auth-delegator                                                  2020-12-08T06:39:13Z system:basic-user                                                      2020-12-08T06:39:13Z system:certificates.k8s.io:certificatesigningrequests:nodeclient       2020-12-08T06:39:13Z system:certificates.k8s.io:certificatesigningrequests:selfnodeclient   2020-12-08T06:39:13Z system:certificates.k8s.io:kube-apiserver-client-approver              2020-12-08T06:39:13Z system:certificates.k8s.io:kube-apiserver-client-kubelet-approver      2020-12-08T06:39:13Z system:certificates.k8s.io:kubelet-serving-approver                    2020-12-08T06:39:13Z system:certificates.k8s.io:legacy-unknown-approver                     2020-12-08T06:39:13Z system:controller:attachdetach-controller                              2020-12-08T06:39:13Z system:controller:certificate-controller                               2020-12-08T06:39:13Z system:controller:clusterrole-aggregation-controller                   2020-12-08T06:39:13Z system:controller:cronjob-controller                                   2020-12-08T06:39:13Z system:controller:daemon-set-controller                                2020-12-08T06:39:13Z system:controller:deployment-controller                                2020-12-08T06:39:13Z system:controller:disruption-controller                                2020-12-08T06:39:13Z system:controller:endpoint-controller                                  2020-12-08T06:39:13Z system:controller:endpointslice-controller                             2020-12-08T06:39:13Z system:controller:endpointslicemirroring-controller                    2020-12-08T06:39:13Z system:controller:expand-controller                                    2020-12-08T06:39:13Z system:controller:generic-garbage-collector                            2020-12-08T06:39:13Z system:controller:horizontal-pod-autoscaler                            2020-12-08T06:39:13Z system:controller:job-controller                                       2020-12-08T06:39:13Z system:controller:namespace-controller                                 2020-12-08T06:39:13Z system:controller:node-controller                                      2020-12-08T06:39:13Z system:controller:persistent-volume-binder                             2020-12-08T06:39:13Z system:controller:pod-garbage-collector                                2020-12-08T06:39:13Z system:controller:pv-protection-controller                             2020-12-08T06:39:13Z system:controller:pvc-protection-controller                            2020-12-08T06:39:13Z system:controller:replicaset-controller                                2020-12-08T06:39:13Z system:controller:replication-controller                               2020-12-08T06:39:13Z system:controller:resourcequota-controller                             2020-12-08T06:39:13Z system:controller:root-ca-cert-publisher                               2020-12-08T06:39:13Z system:controller:route-controller                                     2020-12-08T06:39:13Z system:controller:service-account-controller                           2020-12-08T06:39:13Z system:controller:service-controller                                   2020-12-08T06:39:13Z system:controller:statefulset-controller                               2020-12-08T06:39:13Z system:controller:ttl-controller                                       2020-12-08T06:39:13Z system:coredns                                                         2020-12-08T06:39:15Z system:discovery                                                       2020-12-08T06:39:13Z system:heapster                                                        2020-12-08T06:39:13Z system:kube-aggregator                                                 2020-12-08T06:39:13Z system:kube-controller-manager                                         2020-12-08T06:39:13Z system:kube-dns                                                        2020-12-08T06:39:13Z system:kube-scheduler                                                  2020-12-08T06:39:13Z system:kubelet-api-admin                                               2020-12-08T06:39:13Z system:monitoring                                                      2020-12-08T06:39:13Z system:node                                                            2020-12-08T06:39:13Z system:node-bootstrapper                                               2020-12-08T06:39:13Z system:node-problem-detector                                           2020-12-08T06:39:13Z system:node-proxier                                                    2020-12-08T06:39:13Z system:persistent-volume-provisioner                                   2020-12-08T06:39:13Z system:public-info-viewer                                              2020-12-08T06:39:13Z system:service-account-issuer-discovery                                2020-12-08T06:39:13Z system:volume-scheduler                                                2020-12-08T06:39:13Z view                                                                   2020-12-08T06:39:13Z [root@master01 ~]#

　　提示：以system开头的都是系统默认创建的clusterrole角色；这些角色都是用来给对应组件授权用的，比如，system:kube-dns就是用来给kube-dns这个pod在apiserver上验证授权需要使用的角色；system:kube-controller-manager这个角色就是用来kube-controller-manager这个pod在apiserver上拥有的权限；kube-controller-manager这个pod向apiserver验证时，首先把对应的证书发送给apiserver，apiserver通过识别对应证书中CN的名字来确定对应的用户名；如果对应用户名是system:kube-controller-manager，那么对应kube-controller-manager这个pod就拥有对应该角色的所有权限；如果我们手动部署的k8s集群，对应controller-manager的证书中CN名称不是system:kube-controller-manager，那么我们手动部署的k8s集群将不能正常工作，对于其他组件也是类似的逻辑；除了内置了以system开头的很多clusterrole，k8s为了方便我们授权，它还内置了4个特殊的clusterrole，分别是cluster-admin，admin,edit和view；其中cluster-admin是拥有对整个集群的所有资源拥有所有权限，默认这个角色被clusterrolebinding绑定在system:master这个组上；对应kuberctl使用的证书文件中O的信息就是system:master，所以我们使用kubectl加载默认的配置文件可以操作整个集群上的所有资源；admin角色也是一个管理员权限，不同于cluster-admin，admin角色一般用于通过rolebinding来实现对特有名称空间的管理员授权；edit和view也是类似的逻辑，主要用于通过rolebinding来实现特有名称空间下的特定管理员；比如快速授权某个用户在某个名称空间下拥有只读权限，那么我们就可以把对应用户通过rolebinding将其绑定至view这个clusterrole角色上；如果只允许某个用户拥有对应名称空间下的所有资源的修改权限，就可以把对应用户通过rolebinding绑定到edit这个clusterrole角色上；当然以上几个角色也可以通过clusterrolebinding来绑定，用clusterrolebinding来绑定，对应用户就是对应整个集群的所有资源；有了上述4个内置的clusterrole，我们就可以快速的将某个用户授权为特定的角色：

　　查看kubectl默认证书中的信息

　　复制配置文件中的client-certificate-data 对应的被base64编码处理过的信息，然后通过base64 -d将其解密，然后使用openssl x509 -text -noout 来查看对应证书中的信息

容器编排系统K8s之访问控制--RBAC授权

　　提示：可以看到当前kubectl的证书中O=system:master CN=kubernetes-admin；之所以kubectl能够管理集群资源是因为对应证书中的O=system:master，该信息直接对应k8s上的集群角色cluster-admin；对应集群角色就是通过clusterrolebinding绑定到system:master组；所以kubectl就拥有对k8s整个集群资源的管控；

　　示例：授权tom用户为集群管理员

[root@master01 ~]# cat tom-clusterrolebinding-cluster-admin.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata:   name: tom-cluster-admin roleRef:   kind: ClusterRole   name: cluster-admin   apiGroup: rbac.authorization.k8s.io subjects: - kind: User   apiGroup: rbac.authorization.k8s.io   name: tom    [root@master01 ~]#

　　提示：上述资源表示通过clusterrolebinding授权tom用户拥有cluster-admin角色的所有权限，即集群管理员；

　　应用资源清单

[root@master01 ~]# kubectl apply -f tom-clusterrolebinding-cluster-admin.yaml clusterrolebinding.rbac.authorization.k8s.io/tom-cluster-admin created [root@master01 ~]# kubectl get clusterrolebinding tom-cluster-admin NAME                ROLE                        AGE tom-cluster-admin   ClusterRole/cluster-admin   21s [root@master01 ~]# kubectl describe clusterrolebinding tom-cluster-admin Name:         tom-cluster-admin Labels:       <none> Annotations:  <none> Role:   Kind:  ClusterRole   Name:  cluster-admin Subjects:   Kind  Name  Namespace   ----  ----  ---------   User  tom    [root@master01 ~]#

　　验证：使用tom用户配置文件，管理集群资源

[root@master01 ~]# kubectl get all --kubeconfig=/tmp/myk8s.config NAME                 READY   STATUS    RESTARTS   AGE pod/nginx-pod-demo   1/1     Running   1          47h pod/web-0            1/1     Running   2          3d pod/web-1            1/1     Running   2          3d pod/web-2            1/1     Running   2          3d pod/web-3            1/1     Running   3          3d  NAME                 TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE service/kubernetes   ClusterIP   10.96.0.1    <none>        443/TCP   3d3h service/nginx        ClusterIP   None         <none>        80/TCP    3d3h  NAME                   READY   AGE statefulset.apps/web   4/4     3d3h [root@master01 ~]# kubectl delete all --all  --kubeconfig=/tmp/myk8s.config pod "nginx-pod-demo" deleted pod "web-0" deleted pod "web-1" deleted pod "web-2" deleted pod "web-3" deleted service "kubernetes" deleted service "nginx" deleted statefulset.apps "web" deleted [root@master01 ~]# kubectl apply -f statefulset-demo.yaml  service/nginx created statefulset.apps/web created [root@master01 ~]# kubectl get all --kubeconfig=/tmp/myk8s.config           NAME        READY   STATUS    RESTARTS   AGE pod/web-0   1/1     Running   0          9s pod/web-1   1/1     Running   0          6s pod/web-2   1/1     Running   0          4s  NAME                 TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE service/kubernetes   ClusterIP   10.96.0.1    <none>        443/TCP   85s service/nginx        ClusterIP   None         <none>        80/TCP    9s  NAME                   READY   AGE statefulset.apps/web   3/3     9s [root@master01 ~]#

　　提示：可以看到我们使用tom配置文件和默认配置文件是一样的效果，瞬间tom用户就变成了集群管理；

　　删除tom-cluster-admin这个clusterrolebinding

[root@master01 ~]# kubectl delete -f tom-clusterrolebinding-cluster-admin.yaml  clusterrolebinding.rbac.authorization.k8s.io "tom-cluster-admin" deleted [root@master01 ~]#

　　授权tom用户只读ingress-nginx名称空间下的所有资源

[root@master01 ~]# cat tom-ingress-nginx-view.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata:   name: tom-ingress-nginx-view   namespace: ingress-nginx roleRef:   kind: ClusterRole   name: view   apiGroup: rbac.authorization.k8s.io subjects: - kind: User   apiGroup: rbac.authorization.k8s.io   name: tom    [root@master01 ~]#

　　提示：上述配置表示通过ingress-nginx名称空间下的rolebinding把tom用户绑定至view这个clusterrole上；即对应tom用户对ingress-nginx名称空间下的所有资源只有只读权限；

　　应用资源配置清单

[root@master01 ~]# kubectl apply -f tom-ingress-nginx-view.yaml rolebinding.rbac.authorization.k8s.io/tom-ingress-nginx-view created [root@master01 ~]# kubectl get rolebinding -n ingress-nginx NAME                              ROLE                      AGE nginx-ingress-role-nisa-binding   Role/nginx-ingress-role   9d tom-ingress-nginx-view            ClusterRole/view          22s [root@master01 ~]# kubectl describe rolebinding tom-ingress-nginx-view -n ingress-nginx Name:         tom-ingress-nginx-view Labels:       <none> Annotations:  <none> Role:   Kind:  ClusterRole   Name:  view Subjects:   Kind  Name  Namespace   ----  ----  ---------   User  tom    [root@master01 ~]#

　　验证：使用tom用户配置文件管理ingress-nginx名称空间下的资源

[root@master01 ~]# kubectl get pods -n ingress-nginx --kubeconfig=/tmp/myk8s.config              NAME                                        READY   STATUS    RESTARTS   AGE nginx-ingress-controller-5466cb8999-dzn5d   1/1     Running   0          33s [root@master01 ~]# kubectl get pods --kubeconfig=/tmp/myk8s.config Error from server (Forbidden): pods is forbidden: User "tom" cannot list resource "pods" in API group "" in the namespace "default" [root@master01 ~]# kubectl delete pod nginx-ingress-controller-5466cb8999-dzn5d -n ingress-nginx --kubeconfig=/tmp/myk8s.config Error from server (Forbidden): pods "nginx-ingress-controller-5466cb8999-dzn5d" is forbidden: User "tom" cannot delete resource "pods" in API group "" in the namespace "ingress-nginx" [root@master01 ~]#

　　提示：可以看到现在tom用户只能查看ingress-nginx名称空间下的资源，不能查看default名称空间下的资源，其次对ingress-nginx名称空间下的pod资源没有删除权限；

便宜好用的国外VPS推荐