控制应用权限

不仅用户 (人) 可以操作集群,应用 (程序) 也可以操作集群,通过给 Pod 设置 Serivce Account 来对应用进行授权,如果不设置会默认配置一个 “default” 的 Service Account,几乎没有权限。

原理

创建 Pod 时,在 apiserver 中的 service account admission controller 检测 Pod 是否指定了 ServiceAccount,如果没有就自动设置一个 “default”,如果指定了会检测指定的 ServiceAccount 是否存在,不存在的话会拒绝该 Pod,存在话就将此 ServiceAccount 对应的 Secret 挂载到 Pod 中每个容器的 /var/run/secrets/kubernetes.io/serviceaccount 这个路径,这个 Secret 是 controller manager 中 token controller 去 watch ServiceAccount,为每个 ServiceAccount 生成对应的 token 类型的 Secret 得来的。

Pod 内的程序如果要调用 apiserver 接口操作集群,会使用 SDK,通常是 client-go , SDK 使用 in-cluster 的方式调用 apiserver,从固定路径 /var/run/secrets/kubernetes.io/serviceaccount 读取认证配置信息去连 apiserver,从而实现认证,再结合 RBAC 配置可以实现权限控制。

使用 RBAC 细化应用权限

ServiceAccount 仅针对某个命名空间,所以 Pod 指定的 ServiceAccount 只能引用当前命名空间的 ServiceAccount 的,即便是 “default” 每个命名空间也都是相互独立的,下面给出几个 RBAC 定义示例。

build-robot 这个 ServiceAccount 可以读取 build 命名空间中 Pod 的信息和 log:

apiVersion: v1
kind: ServiceAccount
metadata:
  name: build-robot
  namespace: build

---

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: build
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods", "pods/log"]
  verbs: ["get", "list"]

---

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-pods
  namespace: build
subjects:
- kind: ServiceAccount
  name: build-robot
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

为 Pod 指定 ServiceAccount

示例:

apiVersion: v1
kind: Pod
metadata:
  name: build
  namespace: build
spec:
  containers:
  - image: imroc/build-robot:v1
    name: builder
  serviceAccountName: build-robot

为应用默认指定 imagePullSecrets

ServiceAccount 中也可以指定 imagePullSecrets,也就是只要给 Pod 指定了这个 ServiceAccount,就有对应的 imagePullSecrets,而如果不指定 ServiceAccount 会默认指定 “default”,我们可以给 “default” 这个 ServiceAccount 指定 imagePullSecrets 来实现给某个命名空间指定默认的 imagePullSecrets

创建 imagePullSecrets:

kubectl create secret docker-registry <secret-name> --docker-server=<your-registry-server> --docker-username=<your-name> --docker-password=<your-password> --docker-email=<your-email> -n <namespace>
  • <secret-name>: 是要创建的 imagePullSecrets 的名称
  • <namespace>: 是要创建的 imagePullSecrets 所在命名空间
  • <your-registry-server>: 是你的私有仓库的地址
  • <your-name>: 是你的 Docker 用户名
  • <your-password> 是你的 Docker 密码
  • <your-email> 是你的 Docker 邮箱

指定默认 imagePullSecrets:

kubectl patch serviceaccount default -p '{"imagePullSecrets": [{"name": "<secret-name>"}]}' -n <namespace>
  • <secret-name>: 是 ServiceAccount 要关联的 imagePullSecrets 的名称
  • <namespace>: 是 ServiceAccount 所在的命名空间,跟 imagePullSecrets 在同一个命名空间

参考资料

「真诚赞赏,手留余香」

roc

请我喝杯咖啡?

使用微信扫描二维码完成支付