如何创建一个用户、授权操作k8s集群的过程?

172.16.99.128是的我k8s集群的master节点，此处是从这里获取集群的证书。

openssl?genrsa?-out?devops.key?2048

openssl?req?-new?-key?devops.key?-out?devops.csr?-subj?"/CN=devops/O=architechure"

我们使用的是kubeadm安装的集群，CA相关证书位于/etc/kubernetes/pki/目录下面，如果你是二进制方式搭建的，你应该在最开始搭建集群的时候就已经指定好了CA的目录，我们会利用该目录下面的ca.crt和ca.key两个文件来批准上面的证书请求,生成最终的证书文件，我们这里设置证书的有效期为500天

scp?root@172.16.99.128:/etc/kubernetes/pki/ca.crt?.
scp?root@172.16.99.128:/etc/kubernetes/pki/ca.key?.
openssl?x509?-req?-in?devops.csr?-CA?./ca.crt?-CAkey?./ca.key?-CAcreateserial?-out?devops.crt?-days?500
???ls?-al
total?72
drwxr-xr-x??11?marion??staff???352?Dec?25?11:32?.
drwxr-xr-x??13?marion??staff???416?Dec?25?11:26?..
-rw-r--r--???1?marion??staff????17?Dec?25?11:32?.srl
-rw-r--r--???1?marion??staff??1156?Dec?25?11:32?README.md
-rw-r--r--???1?marion??staff??1025?Dec?25?11:30?ca.crt
-rw-------???1?marion??staff??1675?Dec?25?11:30?ca.key
-rw-r--r--???1?marion??staff??1009?Dec?25?11:32?devops.crt
-rw-r--r--???1?marion??staff???924?Dec?25?11:30?devops.csr
-rw-r--r--???1?marion??staff??1679?Dec?25?11:27?devops.key

kubectl?config?set-credentials?devops?--client-certificate=devops.crt??--client-key=devops.key

kubectl?config?set-context?devops-context?--cluster=cluster-tf26gt9mmk?--namespace=architechure?--user=devops

???kubectl?get?pods?--context=devops-context
Error?from?server?(Forbidden):?pods?is?forbidden:?User?"devops"?cannot?list?resource?"pods"?in?API?group?""?in?the?namespace?"architechure"?#?因为该devops-context还没有操作API的权限

apiVersion:?rbac.authorization.**s.io/v1
kind:?Role
metadata:
??name:?devops-role
??namespace:?architechure
rules:
-?apiGroups:?["",?"extensions",?"apps"]
??resources:?["deployments",?"replicasets",?"pods"]
??verbs:?["get",?"list",?"watch",?"create",?"update",?"patch",?"delete"]?#?也可以使用['*']

然后在集群中创建该角色

kubectl?apply?-f?./devops.role.yaml

apiVersion:?rbac.authorization.**s.io/v1
kind:?RoleBinding
metadata:
??name:?devops-rolebinding
??namespace:?architechure
subjects:
-?kind:?User
??name:?devops
??apiGroup:?""
roleRef:
??kind:?Role
??name:?devops-role?#?上一步创建的devops-role实体
??apiGroup:?""

在集群中创建角色与用户之间的绑定关系

k?apply?-f?./devops-rolebinding.yaml

此时，从下图就可以查看到当前集群的有一个新的用户角色devops，上面用到的Kubecm我们之前也分享过，如果需要可以点此跳转

>?kubectl?get?pods
No?resources?found?in?architechure?namespace.
>?kubectl?get?replicasets
No?resources?found?in?architechure?namespace.
>?kubectl?get?deploy
No?resources?found?in?architechure?namespace.
>?kubectl?get?svc
Error?from?server?(Forbidden):?services?is?forbidden:?User?"devops"?cannot?list?resource?"services"?in?API?group?""?in?the?namespace?"architechure"

总结一下就是：

• 根据集群的CA证书创建出来用户证书
• 根据用户证书创建该用户在集群内的凭证和上下文内容
• 要想用户能进行基本的操作，需要对用户针对apiGroup授权

kubecm?switch
#?select?dev

否则以下步骤会出错：

kubectl?config?set-context?devops-context?--cluster=cluster-tf26gt9mmk?--namespace=default?--user=devops

此时查询列举default空间下的pods是不行的，因为还没允许操作

kubectl?get?pods?--context=devops-context
Error?from?server?(Forbidden):?pods?is?forbidden:?User?"devops"?cannot?list?resource?"pods"?in?API?group?""?in?the?namespace?"default"

devops-role-default.yaml

apiVersion:?rbac.authorization.**s.io/v1
kind:?Role
metadata:
??name:?devops-role
??namespace:?default
rules:
-?apiGroups:?["",?"extensions",?"apps"]
??resources:?["deployments",?"replicasets",?"pods"]
??verbs:?["get",?"list",?"watch",?"create",?"update",?"patch",?"delete"]?#?也可以使用['*']

devops-rolebinding-default.yaml

apiVersion:?rbac.authorization.**s.io/v1
kind:?RoleBinding
metadata:
??name:?devops-rolebinding
??namespace:?default
subjects:
-?kind:?User
??name:?devops
??apiGroup:?""
roleRef:
??kind:?Role
??name:?devops-role
??apiGroup:?""

然后我们在集群中创建这两个对象

kubectl?apply?-f?devops-role-default.yaml
kubectl?apply?-f?devops-rolebinding-default.yaml

kubectl?get?role?-A?|grep?devops-role?#?分别在architechure和default命名空间下
architechure???????????????????devops-role??????????????????????????????????????2021-05-17T07:57:27Z
default????????????????????????devops-role??????????????????????????????????????2021-05-28T03:19:24Z

kubecm?switch
#?select?devops-context
kubectl?get?pods?-n?default
kubectl?get?pods?-n?architechure

到这里就基本上说清楚如何创建一个用户、授权操作**s集群的过程了。