kubelet的認證授權 · kubernetes完整攻略

# Kublet的認證授權 ## 概覽 Kubelet 的 HTTPS 端點對外暴露了用于訪問不同敏感程度數據的 API，并允許您在節點或者容器內執行不同權限級別的操作。本文檔向您描述如何通過認證授權來訪問 kubelet 的 HTTPS 端點。 ## Kubelet 認證默認情況下，所有未被配置的其他身份驗證方法拒絕的，對 kubelet 的 HTTPS 端點的請求將被視為匿名請求，并被授予 `system:anonymous` 用戶名和 `system:unauthenticated` 組。如果要禁用匿名訪問并發送 `401 Unauthorized` 的未經身份驗證的請求的響應： - 啟動 kubelet 時指定 `--anonymous-auth=false` 標志如果要對 kubelet 的 HTTPS 端點啟用 X509 客戶端證書身份驗證： - 啟動 kubelet 時指定 `--client-ca-file` 標志，提供 CA bundle 以驗證客戶端證書 - 啟動 apiserver 時指定 `--kubelet-client-certificate` 和 `--kubelet-client-key` 標志 - 參閱 [apiserver 認證文檔](https://kubernetes.io/docs/admin/authentication/#x509-client-certs) 獲取更多詳細信息。啟用 API bearer token（包括 service account token）用于向 kubelet 的 HTTPS 端點進行身份驗證： - 確保在 API server 中開啟了 `authentication.k8s.io/v1beta1` API 組。 - 啟動 kubelet 時指定 `--authentication-token-webhook`， `--kubeconfig` 和 `--require-kubeconfig` 標志 - Kubelet 在配置的 API server 上調用 `TokenReview` API 以確定來自 bearer token 的用戶信息 ## Kubelet 授權接著對任何成功驗證的請求（包括匿名請求）授權。默認授權模式為 `AlwaysAllow`，允許所有請求。細分訪問 kubelet API 有很多原因： - 啟用匿名認證，但匿名用戶調用 kubelet API 的能力應受到限制 - 啟動 bearer token 認證，但是 API 用戶（如 service account）調用 kubelet API 的能力應受到限制 - 客戶端證書身份驗證已啟用，但只有那些配置了 CA 簽名的客戶端證書的用戶才可以使用 kubelet API 如果要細分訪問 kubelet API，將授權委托給 API server： - 確保 API server 中啟用了 `authorization.k8s.io/v1beta1` API 組 - 啟動 kubelet 時指定 `--authorization-mode=Webhook`、 `--kubeconfig` 和 `--require-kubeconfig` 標志 - kubelet 在配置的 API server 上調用 `SubjectAccessReview` API，以確定每個請求是否被授權 kubelet 使用與 apiserver 相同的 [請求屬性](https://kubernetes.io/docs/admin/authorization/#request-attributes) 方法來授權 API 請求。 Verb（動詞）是根據傳入的請求的 HTTP 動詞確定的： | HTTP 動詞 | request 動詞 | | --------- | ---------- | | POST | create | | GET, HEAD | get | | PUT | update | | PATCH | patch | | DELETE | delete | 資源和子資源根據傳入請求的路徑確定： | Kubelet API | 資源 | 子資源 | | ------------ | ----- | ------- | | /stats/* | nodes | stats | | /metrics/* | nodes | metrics | | /logs/* | nodes | log | | /spec/* | nodes | spec | | *all others* | nodes | proxy | Namespace 和 API 組屬性總是空字符串，資源的名字總是 kubelet 的 `Node` API 對象的名字。當以該模式運行時，請確保用戶為 apiserver 指定了 `--kubelet-client-certificate` 和 `--kubelet-client-key` 標志并授權了如下屬性： - verb=*, resource=nodes, subresource=proxy - verb=*, resource=nodes, subresource=stats - verb=*, resource=nodes, subresource=log - verb=*, resource=nodes, subresource=spec - verb=*, resource=nodes, subresource=metrics