【Kubernetes】K8s 的鉴权管理（二）：基于属性 / 节点 / Webhook 的访问控制

K8s 的鉴权管理（二）：基于属性 / 节点 / Webhook 的访问控制

  • 1.基于属性的访问控制（ABAC 鉴权）
  • 2.基于节点的访问控制（node 鉴权）
    • 2.1 读取操作
    • 2.2 写入操作
  • 3.基于 Webhook 的访问控制
    • 3.1 基于 Webhook 的访问控制的架构
    • 3.2 基于 Webhook 的访问控制的运行机制

1.基于属性的访问控制（ABAC 鉴权）

✨ 官方文档：https://kubernetes.io/docs/reference/access-authn-authz/abac/

❗ ABAC 鉴权功能从 Kubernetes 1.6 版本被弃用。

基于属性的访问控制（Attribute-Based Access Control，ABAC）通过将属性组合在一起来定义用户可以访问的范围。其策略文件是一个具有多行 JSON 格式的文件，该文件中的每一行都是一个策略（即一个 JSON 对象）。

下表列举了该 JSON 对象应具备的属性。

属性
属性中的字段
版本控制1️⃣ apiVersion：字符串类型。该字段表示匹配 Kubernetes API 的哪些版本。该字段允许的值为 abac.authorization.kubernetes.io/v1beta1。
2️⃣ kind：字符串类型，有效值为 Policy。
spec1️⃣ user：字符串类型。该字段的值可以是验证通过的用户名，也可以是通过 --token-auth-file 指定的 Token 文件。
2️⃣ group：字符串类型。如果指定了该字段，则它必须是经过身份验证的用户组。使用 system:authenticated 可以匹配所有经过身份验证的用户组；使用 system:unauthenticated 可以匹配所有没有经过身份验证的用户组。
资源匹配1️⃣ apiGroup：字符串类型，表示匹配一个 Kubernetes API 资源组。使用 * 则匹配所有 API 资源组。也可以具体指定某一个资源组，例如 extensions。
2️⃣ namespace：字符串类型，表示匹配某一个命名空间。使用 * 则匹配所命名空间。也可以具体指定某一个命名空间，例如 kube-system。
3️⃣ resource：字符串类型，表示匹配的资源类型。使用 * 将匹配所资源。也可以具体指定某一个或者某几个资源，例如 pod、service。
非资源匹配nonResourcePath：字符串类型，表示请求的路径。例如：/version 或 /apis。该字段也可以使用通配符。例如，使用 * 则匹配所有非资源请求；使用 /dev/* 则匹配 /dev/ 的所有子路径。
readonly布尔类型。当该字段被设置为 true 时，资源匹配策略仅适用于 GET、LIST 和 WATCH 操作，而非资源匹配策略仅适用于 GET 操作。

下面是使用 ABAC 鉴权时的几个 JSON 策略。

  • alice 用户可以对所有资源做任何事情。
{"apiVersion": "abac.authorization.kubernetes.io/v1beta1", "kind": "Policy", "spec": { "user": "alice", "namespace": "*", "resource": "*", "apiGroup": "*" } 
}
  • Kubelet 用户可以访问任何 Pod 和服务。
{"apiVersion": "abac.authorization.kubernetes.io/v1beta1","kind": "Policy","spec": {"user": "kubelet","namespace": "*","resource": "pods","readonly": true}
}
  • Bob 用户可以在命名空间 dev-demo 中访问 Pod。
{"apiVersion": "abac.authorization.kubernetes.io/v1beta1","kind": "Policy","spec": {"user": "bob","namespace": "dev-demo","resource": "pods","readonly": true}
}

🚀 在实际情况中，通常会把一个 JSON 字符串放到一个 JSON 策略文件中，来作为访问控制的策略文件。在配置完 JSON 策略文件后，在重启 API Server 时需要指定该文件才能获取新的策略。

2.基于节点的访问控制（node 鉴权）

✨ 官方文档：https://kubernetes.io/docs/reference/access-authn-authz/node/

基于节点的访问控制（node 鉴权）是专门针对 kubectl 发出的 API 请求的一种鉴权。

🚀 要启用基于节点的访问控制，则需要在启动 API Server 时使用 --authorization-mode=Node 参数。

对于 kubectl 执行的 API 请求，Node 鉴权过程主要包括 读取操作 和 写入操作。

2.1 读取操作

当 kubectl 使用基于节点的方式操作 API 资源时，允许对以下资源进行 读取操作：

  • Pod、Service、Endpoint、Node
  • Secret、ConfigMap、PVC
  • 绑定到 kubelet 节点的与 Pod 相关的持久卷

2.2 写入操作

当 kubectl 使用基于节点的方式操作 API 资源时，允许对以下的资源进行 写入操作：

  • 节点和节点状态（启用 NodeRestriction 准入控制器，以限制 kubelet 只能修改本节点的信息）。
  • Pod 和 Pod 状态（启用 NodeRestriction 准入控制器，以限制 kubelet 只能修改绑定到本节点的 Pod 信息）。
  • Event（事件）。

🚀 由于写入操作需要启用 NodeRestriction（准入控制器），因此在启动 API Server 时，需要在 --enable-admission-plugins 中加入 NodeRestriction，例如：--enable-admission-plugins=...,NodeRestriction,...

3.基于 Webhook 的访问控制

✨ 官方文档：https://kubernetes.io/docs/reference/access-authn-authz/webhook/

基于 Webhook 的访问控制定义了 HTTP 的一个回调接口，从而实现在某些特定事件发生时，该接口的应用会向一个远端的授权服务器发送 HTTP POST 信息。因此，在启用基于 Webhook 的访问控制后，Kubernetes 会调用外部的服务来对用户访问的资源进行授权。

🚀 要启用基于 Webhook 的访问控制，则需要在启动 API Server 时使用 --authorization-mode=webhook 参数。

3.1 基于 Webhook 的访问控制的架构

基于 Webhook 的访问控制的架构如下图所示。
在这里插入图片描述

从架构来看，基于 Webhook 的访问控制其实是一种基于 HTTP 协议的客户端与服务器（Client-Server）架构。由于 Kubernetes 的访问控制是围绕 API Server 进行的，因此，这里的 HTTP 客户端就是 API Server，而 HTTP 服务器端就是远端的授权服务器。在配置 HTTP 客户端 API Server 时，需要使用一个配置文件来指定远端的授权服务器的信息。

下面是 Kubernetes 官方提供的一个 HTTP 客户端配置示例。

# Kubernetes API version
apiVersion: v1
# kind of the API object
kind: Config
# clusters refers to the remote service.
clusters:- name: name-of-remote-authz-servicecluster:# CA for verifying the remote service.certificate-authority: /path/to/ca.pem# URL of remote service to query. Must use 'https'. May not include parameters.server: https://authz.example.com/authorize# users refers to the API Server's webhook configuration.
users:- name: name-of-api-serveruser:client-certificate: /path/to/cert.pem # cert for the webhook plugin to useclient-key: /path/to/key.pem          # key matching the cert# kubeconfig files require a context. Provide one for the API Server.
current-context: webhook
contexts:
- context:cluster: name-of-remote-authz-serviceuser: name-of-api-servername: webhook

🚀 其中的 clusters 字段代表的是远端的授权服务器。

有了客户端的配置文件后，在启动 API Server 时，除要指定使用 Webhook 的鉴权方式（即设置 --authorization-mode=webhook 参数）外，还需要用 --authorization-webhook-config-file 参数来指定 HTTP 客户端 API Server 的配置文件。

3.2 基于 Webhook 的访问控制的运行机制

在 Kubernetes 配置好基于 Webhook 的访问控制后，在进行鉴权时，API Server 会自动向远端的授权服务器发送一个 HTTP POST 的报文，在该请求中包含一个 JSON 格式的 SubjectAccessReview 对象用来描述当前执行的动作请求。

以下是对 Kubernetes 的资源对象请求进行鉴权的 HTTP POST 报文格式。该报文希望 jane 用户可以获取 Pod 的列表。

{"apiVersion": "authorization.k8s.io/v1beta1","kind": "SubjectAccessReview","spec": {"resourceAttributes": {"namespace": "kittensandponies","verb": "get","group": "unicorn.example.org","resource": "pods"},"user": "jane","group": ["group1","group2"]}
}

可以看出，SubjectAccessReview 对象中除包含被访问资源和请求的动作信息外，还包含用户的信息。

如果要对 Kubernetes 的非资源对象的请求进行鉴权，则报文格式如下：

{"apiVersion": "authorization.k8s.io/v1beta1","kind": "SubjectAccessReview","spec": {"nonResourceAttributes": {"path": "/debug","verb": "get"},"user": "jane","group": ["group1","group2"]}
}

远端的授权服务器在收到 HTTP POST 报文后，如果鉴权成功，则返回一个 SubjectAccessReview 对象，并在对象中填充 status 字段来允许访问。例如：

{"apiVersion": "authorization.k8s.io/v1beta1","kind": "SubjectAccessReview","status": {"allowed": true}
}

在远端的授权服务器拒绝请求的 HTTP POST 报文时，也是通过填充 status 字段来拒绝。例如：

{"apiVersion": "authorization.k8s.io/v1beta1","kind": "SubjectAccessReview","status": {"allowed": false,"reason": "user does not have read access to the namespace"}
}

如果远端的授权服务器拒绝了 API Server 的请求，同时也想拒绝其他授权者再次对该请求进鉴权，则可以在 status 字段中增加一个 denied 参数。例如：

{"apiVersion": "authorization.k8s.io/v1beta1","kind": "SubjectAccessReview","status": {"allowed": false,"denied": true,"reason": "user does not have read access to the namespace"}
}

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/422079.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

什么是 Grafana？

什么是 Grafana？

什么是 Grafana？ Grafana 是一个功能强大的开源平台，用于创建、查看、查询和分析来自多个来源的数据。通过可视化仪表盘（Dashboard），它能够帮助用户监控实时数据、生成历史报告，甚至进行预测分析。Grafana…
阅读更多...
深入解读Docker核心原理：Cgroups资源限制机制详解

深入解读Docker核心原理：Cgroups资源限制机制详解

在容器化技术中，除了资源的隔离，如何有效地控制和分配系统资源同样至关重要。Cgroups（Control Groups） 是Linux内核提供的一个强大机制，允许限制、监控和隔离进程组的系统资源使用情况。Cgroups是Docker实现容器资源限…
阅读更多...
ffmpeg实现视频的合成与分割

ffmpeg实现视频的合成与分割

视频合成与分割程序使用 作者开发了一款软件，可以实现对视频的合成和分割，界面如下： 播放时，可以选择多个视频源；在选中“保存视频”情况下，会将多个视频源合成一个视频。如果只取一个视频源中一段视频…
阅读更多...
初识爬虫1

初识爬虫1

学习路线：爬虫基础知识-requests模块-数据提取-selenium-反爬与反反爬-MongoDB数据库-scrapy-appium。 对应视频链接(百度网盘)：正在整理中 爬虫基础知识： 1.爬虫的概念 总结：模拟浏览器，发送请求，获取…
阅读更多...
Minimax-秋招正式批-面经(SQL相关)

Minimax-秋招正式批-面经(SQL相关)

1. 谈谈对聚簇索引的理解 聚簇索引 InnoDB通过主键聚集数据，如果没有定义主键，InnoDB会选择非空的唯一索引代替。如果没有这样的索引，InnoDB会隐式定义一个主键来作为聚簇索引聚簇索引就是按照每张表的主键构造一颗B树，同时叶子…
阅读更多...
挖耳勺可以和别人共用吗？口碑好的可视耳勺！

挖耳勺可以和别人共用吗？口碑好的可视耳勺！

人体分泌的耳垢会有细菌，如果与别人共用挖耳勺很有可能会交叉感染，所以一般建议自己有专用的挖耳勺。小编可以给大家分享一款超好用又能实现一人一用的挖耳勺--可视挖耳勺，它有着高清内窥镜可以进入耳道实时查看情况，并且耳勺头采…
阅读更多...
Unity人工智能开发学习心得

Unity人工智能开发学习心得

在Unity中进行人工智能研究与应用主要集中在几个关键领域，包括使用Unity ML-Agents插件进行强化学习、利用神经网络技术和深度学习技术训练AI，以及基于行为树技术设计游戏人工智能。 ‌使用Unity ML-Agents插件进行强化学习‌：Unity ML-Agent…
阅读更多...
浏览器百科：网页存储篇-IndexedDB介绍（十）

浏览器百科：网页存储篇-IndexedDB介绍（十）

1.引言 在现代网页开发中，数据存储需求日益增多和复杂，传统的客户端存储技术如localStorage和sessionStorage已难以满足大型数据的存储和管理需求。为了解决这一问题，HTML5 引入了 IndexedDB，在本篇《浏览器百科：网页…
阅读更多...
Debug-027-el-tooltip组件的使用及注意事项

Debug-027-el-tooltip组件的使用及注意事项

前言： 这两天，碰到这个饿了么的el-tooltip比较多。这个组件使用起来也挺简单的，常用于展示鼠标 hover 时的提示信息。但是有一些小点需要注意。这里不再机械化的介绍文档，不熟悉的话可以先看一下： https://element-pl…
阅读更多...
Linux 硬件学习 s3c2440 arm920t蜂鸣器

Linux 硬件学习 s3c2440 arm920t蜂鸣器

1.查找手册时钟图，输入12m想要通过pll得到400m的信号 2.对比pll值，找到最近的为405，得到pll中mdiv为127，pdiv为2，sdiv为1 3.想要得到fclk400，hclk100，pclk50，对比分频比例&#xff0…
阅读更多...
jmeter执行python脚本，python脚本的Faker库

jmeter执行python脚本，python脚本的Faker库

jmeter安装 jython的插件jar包 通过如下地址下载jython-standalone-XXX.jar包并放到jmeter的XXX\lib\ext目录下面 Downloads | JythonThe Python runtime on the JVMhttps://www.jython.org/download.html 重启jmeter在JSR223中找到jython可以编写python代码执行 python造数据…
阅读更多...
MySQL：运维管理-主从复制

MySQL：运维管理-主从复制

目录 一、主从复制的概述二、主从复制的工作原理三、搭建主从复制的结构3.1 环境准备3.2 搭建配置（主库配置）3.3 搭建配置（从库配置）3.4 测试 一、主从复制的概述 主从复制是指将主数据库中的DDL和DML操作的二进制文件保存到本地&…
阅读更多...
小间距LED显示屏的模组与箱体参数

小间距LED显示屏的模组与箱体参数

随着显示技术的发展，小间距LED显示屏因其高清晰度和高亮度而越来越受到市场的欢迎。然而，对于许多用户来说，如何理解和选择小间距LED显示屏的参数可能是一个挑战。本文将详细介绍小间距LED显示屏的两大核心参数：模组参数和箱体参数…
阅读更多...
Python画笔案例-045 绘制渐变圆盘

Python画笔案例-045 绘制渐变圆盘

1、绘制 渐变圆盘 通过 python 的turtle 库绘制 渐变圆盘，如下图： 2、实现代码 绘制 渐变圆盘，以下为实现代码： """本程序需要coloradd模块支持,安装方法pip install coloradd """ import turtle …
阅读更多...
2024年解锁高效项目管理的秘密：AI赋能的10款项目管理工具大比拼

2024年解锁高效项目管理的秘密：AI赋能的10款项目管理工具大比拼

在数字化转型的浪潮中，项目经理、产品经理、研发管理者以及企业管理者们正面临着前所未有的挑战。如何在快节奏的环境中保持高效，确保项目按时交付，同时保证质量，成为了每个团队都需要思考的问题。幸运的是，随着AI技术…
阅读更多...
如何用python打开csv文件路径

如何用python打开csv文件路径

python读取CSV文件方法： 方法1：可先用以下代码查看当前工作路径，然后将CSV文件放在该路径下。 import os os.getcwd() 方法2：（绝对路径） import pandas as pd iris_trainpd.read_csv(E:\Study\DataSets\ir…
阅读更多...
武汉传媒学院联合创龙教仪建设DSP教学实验箱，基于DSP C6000平台搭建

武汉传媒学院联合创龙教仪建设DSP教学实验箱，基于DSP C6000平台搭建

1、院校简介 武汉传媒学院是中南地区唯一一所传媒类本科高校，也是湖北省“转型发展”首批试点高校 前身是2004年成立的华中师范大学武汉影视工程学院，2007年经教育部批准更名为华中师范大学武汉传媒学院，2016年，经教育部批准&…
阅读更多...
BizDevOps落地实践

BizDevOps落地实践

我理解BizDevOps就是端到端，从战略业务机会到开发上线 参考资料 十六年所思所感，聊聊这些年我所经历的 DevOps 系统 必致（BizDevOps）白皮书2022免费下载_在线阅读_藏经阁-阿里云开发者社区 具体落地实践 战略规划 战略&…
阅读更多...
【网络安全】服务基础第二阶段——第五节：Linux系统管理基础----Linux常见应用服务（Apache、数据库）

【网络安全】服务基础第二阶段——第五节：Linux系统管理基础----Linux常见应用服务（Apache、数据库）

在Linux系统中，有许多常见的应用服务，它们用于执行各种任务，如网页托管、数据库管理、文件传输等。 Apache HTTP Server：用于托管网站和Web应用程序的Web服务器。Nginx：高性能的Web服务器和反向代理服务器&#xff0c…
阅读更多...
使用CUBE_MX实现STM32 DMA 功能（存储器到存储器）

使用CUBE_MX实现STM32 DMA 功能（存储器到存储器）

目录 一、使用DMA实现从存储器1发送数据到存储器2中 1.CUBE_MX配置 2.KEIL5配置 一、使用DMA实现从存储器1发送数据到存储器2中 1.CUBE_MX配置 1.在DMA选项中添加MEMORY TO MEMORY 选择数据宽度，并确保地址递增功能打开。 2.系统时钟72MHz 3.生成代码 2.KEIL5配…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023