12.1.瞭解認證機制

　　啟動API伺服器時，通過命令列選項可以開啟認證外掛。

12.1.1.使用者和組

瞭解使用者：

　　分為兩種連線到api伺服器的客戶端：

　　1.真實的人

　　2.pod，使用一種稱為ServiceAccount的機制

瞭解組：

　　認證外掛會連同使用者名稱，和使用者id返回組，組可以一次性給使用者服務多個許可權，不用單次賦予，

　　system:unauthenticated組：用於所有認證外掛都不會認證客戶端身份的請求。

　　system:authenticated組：會自動分配給一個成功通過認證的使用者。

　　system:serviceaccount組：包含 所有在系統中的serviceaccount。

　　system:serviceaccount：<namespace>組：包含了所有在特定名稱空間中的serviceAccount。

12.1.2 ServiceAccount介紹

　　每個pod中都包含/var/run/secrets/kubernetes.io/serviceaccount/token檔案，如下圖所示，檔案內容用於對身份進行驗證，token檔案持有serviceaccount的認證token。

　　應用程式使用token去連線api伺服器時，認證外掛會對serviceaccount進行身份認證，並將serviceaccount的使用者名稱傳回到api伺服器內部。

       serviceaccount的使用者名稱格式如下：

　　system:serviceaccount:<namespace>:<service account name>

　　ServiceAccount是執行在pod中的應用程式，和api伺服器身份認證的一中方式。

瞭解ServiceAccount資源

　　ServiceAcount作用在單一名稱空間，為每個名稱空間建立預設的ServiceAccount。

　　多個pod可以使用相同名稱空間下的同一的ServiceAccount，

 ServiceAccount如何與授權檔案繫結

 　　在pod的manifest檔案中，可以指定賬戶名稱的方式，將一個serviceAccount賦值給一個pod，如果不指定，將使用該名稱空間下預設的ServiceAccount.

 　　可以 將不同的ServiceAccount賦值給pod，讓pod訪問不同的資源。

12.1.3建立ServiceAccount

　　為了叢集的安全性，可以手動建立ServiceAccount，可以限制只有允許的pod訪問對應的資源。

        建立方法如下：

$ kubectl get sa
NAME      SECRETS   AGE
default   1         21h


$ kubectl create serviceaccount yaohong
serviceaccount/yaohong created


$ kubectl get sa
NAME      SECRETS   AGE
default   1         21h
yaohong   1         3s

　　使用describe來檢視ServiceAccount。

$ kubectl describe sa yaohong
Name:                yaohong
Namespace:           default
Labels:              <none>
Annotations:         <none>
Image pull secrets:  <none>
Mountable secrets:   yaohong-token-qhbxn   //如果強制使用可掛載祕鑰。那麼使用這個serviceaccount的pod只能掛載這個祕鑰
Tokens:              yaohong-token-qhbxn
Events:              <none>

　　檢視該token，

$ kubectl describe secret yaohong-token-qhbxn
Name:         yaohong-token-qhbxn
Namespace:    default
Labels:       <none>
Annotations:  kubernetes.io/service-account.name: yaohong
              kubernetes.io/service-account.uid: a3d0d2fe-bb43-11e9-ac1e-005056870b4d

Type:  kubernetes.io/service-account-token

Data
====
ca.crt:     1342 bytes
namespace:  7 bytes
token:      eyJhbGciOiJSUzI1NiIsImtpZCI6IiJ9.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJkZWZhdWx0Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZWNyZXQubmFtZSI6Inlhb2hvbmctdG9rZW4tcWhieG4iLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC5uYW1lIjoieWFvaG9uZyIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VydmljZS1hY2NvdW50LnVpZCI6ImEzZDBkMmZlLWJiNDMtMTFlOS1hYzFlLTAwNTA1Njg3MGI0ZCIsInN1YiI6InN5c3RlbTpzZXJ2aWNlYWNjb3VudDpkZWZhdWx0Onlhb2hvbmcifQ.BwmbZKoM95hTr39BuZhinRT_vHF-typH4anjkL0HQxdVZEt_eie5TjUECV9UbLRRYIqYamkSxmyYapV150AQh-PvdcLYPmwKQLJDe1-7VC4mO2IuVdMCI_BnZFQBJobRK9EdPdbZ9uxc9l0RL5I5WyWoIjiwbrQvtCUEIkjT_99_NngdrIr7QD9S5SxHurgE3HQbmzC6ItU911LjmxtSvBqS5NApJoJaztDv0cHKvlT67ZZbverJaStQdxr4yiRbpSycRNArHy-UZKbNQXuzaZczSjVouo5A5hzgSHEBBJkQpQ6Tb-Ko5XGjjCgV_b9uQvhmgdPAus8GdFTTFAbCBw

12.1.4將ServiceAccount分配給pod

　　在pod中定義的spec.serviceAccountName欄位上設定，此欄位必須在pod建立時設定後續不能被修改。

　　自定義pod的ServiceAccount的方法如下圖

12.2通過基於角色的許可權控制加強叢集安全

12.2.1.介紹RBAC授權外掛

　　RBAC授權外掛將使用者角色作為決定使用者能否執行操作的關機因素。

12.2.2介紹RBAC授權資源

　　RBAC授權規則通過四種資源來進行配置的，他們可以分為兩組：

　　　　Role和ClusterRole，他們決定資源上可執行哪些動詞。

      　　 RoleBinding和ClusterRoleBinding，他們將上述角色繫結到特定的使用者，組或者ServiceAccounts上。

　　Role和RoleBinding是namespace級別資源

　　ClusterRole和ClusterRoleBinding是叢集級別資源

12.2.3使用Role和RoleBinding

 　　Role資源定義了哪些操作可以在哪些資源上執行，

建立Role

　　service-reader.yml

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: kube-system
  name: service-reader
rules:
- apiGroups: [""]
  verbs: ["get", "list"]
  resources: ["services"]

　　在kube-system中建立Role

#kubectl -n kube-system create -f service-reader.yml

　　檢視該namespace下的role

$ kubectl -n kube-system get role
NAME                                             AGE
extension-apiserver-authentication-reader        41h
kube-state-metrics-resizer                       41h
service-reader                                   2m17s
system::leader-locking-kube-controller-manager   41h
system::leader-locking-kube-scheduler            41h
system:controller:bootstrap-signer               41h
system:controller:cloud-provider                 41h
system:controller:token-cleaner                  41h

繫結角色到ServiceAccount

　　　將service-reader角色繫結到default ServiceAccount

$ kubectl  create rolebinding test --role=service-reader
rolebinding.rbac.authorization.k8s.io/test created

$ kubectl  get rolebinding test -o yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  creationTimestamp: 2019-08-11T03:40:51Z
  name: test
  namespace: default
  resourceVersion: "239323"
  selfLink: /apis/rbac.authorization.k8s.io/v1/namespaces/default/rolebindings/test
  uid: d0aff243-bbe9-11e9-ac1e-005056870b4d
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: service-reader

12.2.4使用ClusterRole和ClusterRoleBinding

 檢視叢集ClusterRole

# kubectl get clusterrole 
NAME                                                                   AGE
admin                                                                  42h
cluster-admin                                                          42h
edit                                                                   42h
flannel                                                                42h
kube-state-metrics                                                     42h
system:aggregate-to-admin                                              42h
...

建立ClusterRole

kubectl create clusterrole flannel --verb=get,list -n kube-system　

檢視yaml檔案

# kubectl get  clusterrole flannel -o yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  annotations:
    kubectl.kubernetes.io/last-applied-configuration: |
      {"apiVersion":"rbac.authorization.k8s.io/v1","kind":"ClusterRole","metadata":{"annotations":{},"name":"flannel"},"rules":[{"apiGroups":[""],"resources":["pods"],"verbs":["get"]},{"apiGroups":[""],"resources":["nodes"],"verbs":["list","watch"]},{"apiGroups":[""],"resources":["nodes/status"],"verbs":["patch"]}]}
  creationTimestamp: 2019-08-09T09:58:42Z
  name: flannel
  resourceVersion: "360"
  selfLink: /apis/rbac.authorization.k8s.io/v1/clusterroles/flannel
  uid: 45100f6f-ba8c-11e9-8f57-005056870608
rules:
- apiGroups:
  - ""
  resources:
  - pods
  verbs:
  - get
- apiGroups:
  - ""
  resources:
  - nodes
  verbs:
  - list
  - watch
- apiGroups:
  - ""
  resources:
  - nodes/status
  verbs:
  - patch

建立clusterRoleBinding

$ kubectl  create clusterrolebinding  cluster-tetst  --clusterrole=pv-reader  --serviceaccount=kuebsystem:yaohong 
clusterrolebinding.rbac.authorization.k8s.io/cluster-tetst created

12.2.5瞭解預設的ClusterRole和ClusterRoleBinding

如下所示使用kubectl get clusterroles和kubectl get clusterrolesbinding可以獲取k8s預設資源。

用edit ClusterRole允許對資源進行修改

用admin ClusterRole賦予一個名稱空間全部的許可權

$ kubectl get clusterroles
NAME                                                                   AGE
admin                                                                  44h
cluster-admin                                                          44h
edit                                                                   44h
flannel                                                                44h
kube-state-metrics                                                     44h
system:aggregate-to-admin                                              44h
system:aggregate-to-edit                                               44h
system:aggregate-to-view                                               44h
system:auth-delegator                                                  44h
system:aws-cloud-provider                                              44h
system:basic-user                                                      44h
system:certificates.k8s.io:certificatesigningrequests:nodeclient       44h
system:certificates.k8s.io:certificatesigningrequests:selfnodeclient   44h
system:controller:attachdetach-controller                              44h
system:controller:certificate-controller                               44h
system:controller:clusterrole-aggregation-controller                   44h
。。。

wps@wps:~$ kubectl get clusterrolebindings
NAME                                                   AGE
clust-tetst                                            17m
cluster-admin                                          44h
cluster-tetst                                          13m
flannel                                                44h
kube-state-metrics                                     44h
kubelet-bootstrap                                      44h
system:aws-cloud-provider                              44h
system:basic-user                                      44h
system:controller:attachdetach-controller              44h
system:controller:certificate-controller               44h
。。。

&n