草庐IT

Kubernetes之kuberconfig--普通用户授权kubernetes集群

对你无可奈何 2023-03-28 原文

背景：

是这样的一个事情：服务运行于kubernetes集群（腾讯云tke1.20.6）。日志采集到了elasticsearch集群and腾讯的cls日志服务中。小伙伴看日志觉得还是不太方便，还是想看控制台输出的。给他们分配过一台服务器（加入到集群中，但是有污点标签的节点）。为了方便他们测试一下东西。现在想让他们通过此work节点可以在控制台查看日志。正常的就是把master节点的/root/.kube/目录下的config配置文件copy过来就可以了。但是这权限也太大了！重新复习一遍kubeconfig配置文件以及 role rolebinding的知识！ 注： namespace为official。想分配的权限是list and log，嗯查看pod列表和查看日志 不能删除修改namespace下pod。并且不能查看其他namespace。

Kubernetes之kuberconfig

1. 创建用户凭证

前提： openssl的安装就忽略了......

1. 创建用户证书私钥

用户就用我自己名字了，私钥命名为zhangpeng.key

openssl genrsa -out zhangpeng.key 2048

2. 创建证书签名请求文件

使用我们刚刚创建的私钥创建一个证书签名请求文件：zhangpeng.csr，要注意需要确保在-subj参数中指定用户名和组(CN表示用户名，O表示组)

openssl req -new -key zhangpeng.key -out zhangpeng.csr -subj "/CN=zhangpeng/O=layabox" 可能你会出现下面的报错： 注：图非上面执行命令的截图，其他环境下操作出现的 解决方式如下：

cd /root openssl rand -writerand .rnd 然后重新执行命名

openssl req -new -key zhangpeng.key -out zhangpeng.csr -subj "/CN=zhangpeng/O=layabox"

3. 生成最终证书文件

找到Kubernetes集群的CA，如果你是使用的是kubeadm安装的集群，CA相关证书位于/etc/kubernetes/pki/目录下面，如果你是二进制方式搭建的，你应该在最开始搭建集群的时候就已经指定好了CA的目录，我们会利用该目录下面的ca.crt和ca.key两个文件来批准上面的证书请求。当然了我使用的是腾讯云的tke集群。证书是位于/etc/kubernetes目录下的 server.crt和server.key。这里就用这两个文件生成证书文件，命令如下： ​

root@ap-shanghai-k8s-master-1:~/ap-shanghai# openssl x509 -req -in zhangpeng.csr -CA /etc/kubernetes/ca.crt -CAkey /etc/kubernetes/ca.key -CAcreateserial -out zhangpeng.crt -days 3650 Signature ok subject=CN = zhangpeng, O = layabox Getting CA Private Key 查看我们当前文件夹下面是否生成了一个证书文件

4. 在kubernetes集群中创建凭证和上下文（context）

创建新的用户凭证

root@ap-shanghai-k8s-master-1:~/ap-shanghai# kubectl config set-credentials zhangpeng --client-certificate=zhangpeng.crt --client-key=zhangpeng.key User "zhangpeng" set. 为用户设置Context:

root@ap-shanghai-k8s-master-1:~/ap-shanghai# kubectl config set-context zhangpeng-context --cluster=kubernetes --namespace=official --user=zhangpeng Context "zhangpeng-context" created. 到这里，zhangpeng用户的配置就已经创建成功了，现在我们使用当前的这个配置文件来操作kubectl命令的时候，应该会出现错误，因为我们还没有为该用户定义任何操作的权限：

$ kubectl get pods --context=zhangpeng-context -n official Error from server (Forbidden): pods is forbidden: User "zhangpeng" cannot list resource "pods" in API group "" in the namespace "official"

2. 创建角色

cat role.yaml

apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: namespace: official name: official-log-role rules: - apiGroups: [""] resources: ["pods", "pods/log"] verbs: ["get", "list"] kubectl apply -f role.yaml 注：可参照https://kubernetes.io/zh/docs/reference/access-authn-authz/rbac/ rbac鉴权

3. 创建角色权限绑定

cat rolebinding.yaml

apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: ap-shanghai-rolebinding namespace: official subjects: - kind: User name: zhangpeng apiGroup: "" roleRef: kind: Role name: official-log-role apiGroup: "" kubectl apply -f rolebinding.yaml

4. 测试

root@ap-shanghai-k8s-master-1:~/ap-shanghai# kubectl get pods --context=zhangpeng-context The connection to the server localhost:8080 was refused - did you specify the right host or port? 报错了为什么呢？喵一眼/root/.kube/config文件： tke集群默认的cluster是local.我在1.2.4步骤中cluster设置的是kubernetes。这里直接在config文件中修改了cluster为local。也强调一下在执行1.2.4步骤的时候一定要先确认一下集群的cluster名称。不要直接copy拿来主义！ ​

重新进行测试：

kubectl get pods --context=zhangpeng-context 由于这些pod都是线上跑的，我就新建一个nginx pod然后进行测试下是否可以delete and edit

kubectl run nginx --image=nginx -n official $ kubectl delete pods nginx --context=zhangpeng-context Error from server (Forbidden): pods "nginx" is forbidden: User "zhangpeng" cannot delete resource "pods" in API group "" in the namespace "official" $ kubectl edit nginx --context=zhangpeng-context error: pods "nginx" could not be patched: pods "nginx" is forbidden: User "zhangpeng" cannot patch resource "pods" in API group "" in the namespace "official" You can run `kubectl replace -f /tmp/kubectl-edit-kp0az.yaml` to try this update again. 嗯 然后将config文件copy到用户的跳板机上面/root/.kube/config： 我是那么做的删除了原来的集群默认用户的user and contexts。讲contexts默认用户设置为创建的zhangpeng-context。当然了也记得把client-certificate client-key 文件copy到对应目录（当然了自己也可以自定义下，然后修改一下config文件） 切换一下命名空间namespace试一试： 基本实现了个人的目的。RBAC and安全上下文还要深入复习一下！

kuberconfigKubernetescodequotzhangpengkubernetes虚拟化云计算

有关Kubernetes之kuberconfig--普通用户授权kubernetes集群的更多相关文章

  1. ruby-on-rails - 使用 rails 4 设计而不更新用户 - 2

    我将应用程序升级到Rails4，一切正常。我可以登录并转到我的编辑页面。也更新了观点。使用标准View时，用户会更新。但是当我添加例如字段:name时，它​​不会在表单中更新。使用devise3.1.1和gem'protected_attributes'我需要在设备或数据库上运行某种更新命令吗？我也搜索过这个地方，找到了许多不同的解决方案，但没有一个会更新我的用户字段。我没有添加任何自定义字段。 最佳答案 如果您想允许额外的参数，您可以在ApplicationController中使用beforefilter，因为Rails4将参数

  2. ruby-on-rails - 简单的 Ruby on Rails 问题——如何将评论附加到用户和文章？ - 2

    我意识到这可能是一个非常基本的问题，但我现在已经花了几天时间回过头来解决这个问题，但出于某种原因，Google就是没有帮助我。(我认为部分问题在于我是一个初学者，我不知道该问什么......)我也看过O'Reilly的RubyCookbook和RailsAPI，但我仍然停留在这个问题上.我找到了一些关于多态关系的信息，但它似乎不是我需要的(尽管如果我错了请告诉我)。我正在尝试调整MichaelHartl'stutorial创建一个包含用户、文章和评论的博客应用程序(不使用脚手架)。我希望评论既属于用户又属于文章。我的主要问题是:我不知道如何将当前文章的ID放入评论Controller。

  3. ruby - RVM "ERROR: Unable to checkout branch ."单用户 - 2

    我在新的Debian6VirtualBoxVM上安装RVM时遇到问题。我已经安装了所有需要的包并使用下载了安装脚本(curl-shttps://rvm.beginrescueend.com/install/rvm)>rvm，但以单个用户身份运行时bashrvm我收到以下错误消息:ERROR:Unabletocheckoutbranch.安装在这里停止，并且(据我所知)没有安装RVM的任何文件。如果我以root身份运行脚本(对于多用户安装)，我会收到另一条消息:Successfullycheckedoutbranch''安装程序继续并指示成功，但未添加.rvm目录，甚至在修改我的.bas

  4. ruby - 在没有基准或时间的情况下用 Ruby 测量用户时间或系统时间 - 2

    因为我现在正在做一些时间测量，我想知道是否可以在不使用Benchmark类或命令行实用程序time的情况下测量用户时间或系统时间。使用Time类只显示挂钟时间，而不显示系统和用户时间，但是我正在寻找具有相同灵active的解决方案，例如time=TimeUtility.now#somecodeuser,system,real=TimeUtility.now-time原因是我有点不喜欢Benchmark，因为它不能只返回数字(编辑:我错了-它可以。请参阅下面的答案。)。当然，我可以解析输出，但感觉不对。*NIX系统的time实用程序也应该可以解决我的问题，但我想知道是否已经在Ruby中实

  5. ruby-on-rails - 使用 javascript 更改数据方法不会更改 ajax 调用用户的什么方法？ - 2

    我遇到了一个非常奇怪的问题，我很难解决。在我看来，我有一个与data-remote="true"和data-method="delete"的链接。当我单击该链接时，我可以看到对我的Rails服务器的DELETE请求。返回的JS代码会更改此链接的属性，其中包括href和data-method。再次单击此链接后，我的服务器收到了对新href的请求，但使用的是旧的data-method，即使我已将其从DELETE到POST(它仍然发送一个DELETE请求)。但是，如果我刷新页面，HTML与"new"HTML相同(随返回的JS发生变化)，但它实际上发送了正确的请求类型。这就是这个问题令我困惑的

  6. ruby - HTTP 请求中的用户代理，Ruby - 2

    我是Ruby的新手。我试过查看在线文档，但没有找到任何有效的方法。我想在以下HTTP请求botget_response()和get()中包含一个用户代理。有人可以指出我正确的方向吗？#PreliminarycheckthatProggitisupcheck=Net::HTTP.get_response(URI.parse(proggit_url))ifcheck.code!="200"puts"ErrorcontactingProggit"returnend#Attempttogetthejsonresponse=Net::HTTP.get(URI.parse(proggit_url)

  7. ruby-on-rails - capybara poltergeist - 覆盖用户代理 - 2

    有人知道如何将capybarapoltergeist的用户代理覆盖到移动用户代理以进行测试吗？我发现了一些有关为seleniumwebdriver配置它的信息:http://blog.plataformatec.com.br/2011/03/configuring-user-agents-with-capybara-selenium-webdriver/这在capybara闹鬼中怎么可能？ 最佳答案 请参阅poltergeistgithub页面上的链接:https://github.com/teampoltergeist/polte

  8. ruby-on-rails - 如何用不同的用户运行nginx主进程 - 2

    A/ctohttp://wiki.nginx.org/CoreModule#usermaster进程曾经以root用户运行，是否可以以不同的用户运行nginxmaster进程？ 最佳答案 只需以非root身份运行init脚本(即/etc/init.d/nginxstart)，就可以用不同的用户运行nginxmaster进程。如果这真的是你想要做的，你将需要确保日志和pid目录(通常是/var/log/nginx&/var/run/nginx.pid)对该用户是可写的，并且您所有的listen调用都是针对大于1024的端口(因为绑定(

  9. ruby-on-rails - 验证电子邮件地址是 Paypal 用户 - 2

    我想验证一个电子邮件地址是否是PayPal用户。是否有API调用来执行此操作？是否有执行此操作的ruby​​库？谢谢 最佳答案 GetVerifiedStatus来自PayPal'sAdaptiveAccounts平台会为您做这件事。PayPal没有任何codesamples或SDKs用于Ruby中的自适应帐户，但我确实找到了编写codeforGetVerifiedStatusinRuby的人.您需要更改该代码以检查他们拥有的帐户类型的唯一更改是更改if@xml['accountStatus']!=nilaccount_status

  10. ruby-on-rails - 设计通过 reset_password_token 获取用户 - 2

    我正在尝试创建密码规则来设计可恢复的密码更改。我通过passwords_controller.rb做了一个父类(superclass)，但我需要在应用规则之前检查用户角色，但我所拥有的只是reset_password_token。 最佳答案 假设您的模型是用户:User.with_reset_password_token(your_token_here)Source 关于ruby-on-rails-设计通过reset_password_token获取用户，我们在StackOverflow

随机推荐