如何获取k8s的token

要获取Kubernetes (k8s) 的token，你可以通过几种方法来实现，包括使用kubectl命令、查找默认服务账户的token、创建新的服务账户。其中，使用kubectl命令是最直接和常用的方法。你可以通过运行kubectl -n <namespace> get secret命令来列出所有secret，然后找到包含token的secret名称，最后通过kubectl -n <namespace> describe secret <secret-name>命令来获取token的详细信息。这样，你就能轻松获取到k8s的token。

一、使用kubectl命令获取token

使用kubectl命令获取k8s的token是最常用的方法之一。首先，你需要确保已经配置好kubeconfig文件，使得kubectl能够访问你的Kubernetes集群。接着，运行以下命令来获取token：

kubectl -n <namespace> get secret

这个命令会列出指定namespace下的所有secret。找到包含token的secret名称后，运行：

kubectl -n <namespace> describe secret <secret-name>

在输出的详细信息中，你会看到一个字段token，这个字段的值就是你所需要的k8s token。

二、查找默认服务账户的token

每个namespace默认都会有一个名为default的服务账户，可以通过这个服务账户来获取token。运行以下命令来列出所有namespace下的服务账户：

kubectl get serviceaccounts -A

找到你感兴趣的namespace后，运行以下命令来获取该namespace下的default服务账户的token：

kubectl -n <namespace> get secret

找到名称中包含default-token的secret，运行：

kubectl -n <namespace> describe secret <secret-name>

在输出的详细信息中，你会看到一个字段token，这个字段的值就是默认服务账户的k8s token。

三、创建新的服务账户

有时候你可能需要创建一个新的服务账户来获取token。首先，运行以下命令来创建一个新的服务账户：

kubectl create serviceaccount <service-account-name> -n <namespace>

然后，为这个服务账户创建一个role binding，以便它能够访问所需的资源：

kubectl create rolebinding <rolebinding-name> --serviceaccount=<namespace>:<service-account-name> --clusterrole=<clusterrole-name> -n <namespace>

接着，运行以下命令来获取新创建的服务账户的token：

kubectl -n <namespace> get secret

找到名称中包含你新创建的服务账户名称的secret，运行：

kubectl -n <namespace> describe secret <secret-name>

在输出的详细信息中，你会看到一个字段token，这个字段的值就是你新创建的服务账户的k8s token。

四、通过API服务器获取token

除了使用kubectl命令，你还可以通过直接访问Kubernetes API服务器来获取token。首先，你需要获取API服务器的地址和token。通常，这些信息可以在你的kubeconfig文件中找到。然后，使用curl命令来向API服务器发送请求：

curl -k -H "Authorization: Bearer <your-token>" <api-server-url>/api/v1/namespaces/<namespace>/secrets

这个命令会返回指定namespace下的所有secrets。找到包含token的secret名称后，运行：

curl -k -H "Authorization: Bearer <your-token>" <api-server-url>/api/v1/namespaces/<namespace>/secrets/<secret-name>

在返回的JSON数据中，你会看到一个字段data.token，这个字段的值就是base64编码的token。你需要使用base64命令来解码它：

echo <base64-encoded-token> | base64 --decode

这样，你就能获取到k8s的token。

五、使用ServiceAccount的token请求

Kubernetes在创建Pod时，通常会自动为每个Pod分配一个ServiceAccount，并将对应的token挂载到Pod的文件系统中。你可以通过以下步骤来获取这个token。首先，进入你的Pod：

kubectl exec -it <pod-name> -n <namespace> -- /bin/bash

然后，查找token文件的位置，通常在/var/run/secrets/kubernetes.io/serviceaccount/token：

cat /var/run/secrets/kubernetes.io/serviceaccount/token

这个文件的内容就是你的ServiceAccount的token。

六、使用RBAC创建具有特定权限的token

在生产环境中，你可能需要创建具有特定权限的token，这可以通过Kubernetes的RBAC（Role-Based Access Control）来实现。首先，定义一个新的ClusterRole，它指定了所需的权限：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: <clusterrole-name>
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list", "watch"]

接着，创建一个ClusterRoleBinding，将这个ClusterRole绑定到一个ServiceAccount：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: <rolebinding-name>
subjects:
- kind: ServiceAccount
  name: <service-account-name>
  namespace: <namespace>
roleRef:
  kind: ClusterRole
  name: <clusterrole-name>
  apiGroup: rbac.authorization.k8s.io

最后，获取这个ServiceAccount的token，步骤与前面提到的获取服务账户token的方法相同。

七、使用Helm Chart自动化创建token

如果你频繁需要创建和管理k8s的token，可以使用Helm Chart来自动化这个过程。首先，创建一个Helm Chart，在Chart的模板文件中定义ServiceAccount和RoleBinding：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: {{ .Values.serviceAccountName }}
  namespace: {{ .Values.namespace }}
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: {{ .Values.rolebindingName }}
  namespace: {{ .Values.namespace }}
subjects:
- kind: ServiceAccount
  name: {{ .Values.serviceAccountName }}
roleRef:
  kind: ClusterRole
  name: {{ .Values.clusterRoleName }}
  apiGroup: rbac.authorization.k8s.io

然后，通过Helm命令来安装这个Chart：

helm install <release-name> <chart-path> --set serviceAccountName=<service-account-name>,namespace=<namespace>,rolebindingName=<rolebinding-name>,clusterRoleName=<clusterrole-name>

安装完成后，使用前面提到的方法来获取新创建的ServiceAccount的token。

八、脚本化token获取流程

为了提高效率，可以编写脚本来自动化获取k8s token的流程。以下是一个简单的Bash脚本示例：

#!/bin/bash
NAMESPACE=$1
SERVICE_ACCOUNT=$2
SECRET_NAME=$(kubectl -n $NAMESPACE get secret | grep $SERVICE_ACCOUNT | awk '{print $1}')
TOKEN=$(kubectl -n $NAMESPACE describe secret $SECRET_NAME | grep token: | awk '{print $2}')
echo "Token for ServiceAccount $SERVICE_ACCOUNT in Namespace $NAMESPACE: $TOKEN"

运行这个脚本时，需要传入namespace和service-account名称：

./get-token.sh <namespace> <service-account-name>

这个脚本会自动获取指定服务账户的token，并将其打印出来。

九、使用Kubernetes Dashboard获取token

Kubernetes Dashboard提供了一个图形界面，可以方便地管理和查看集群资源。你可以通过Dashboard来获取k8s的token。首先，确保你的Kubernetes集群已经安装了Dashboard，并且你有访问Dashboard的权限。登录Dashboard后，导航到Secrets部分，找到包含token的secret，点击它查看详细信息。在详细信息页面，你会看到一个字段token，这个字段的值就是你的k8s token。

十、通过kubectl proxy获取token

你可以使用kubectl proxy命令来启动一个本地代理，以便通过本地访问Kubernetes API。首先，启动代理：

kubectl proxy

代理启动后，访问以下URL来获取指定namespace下的secrets：

http://localhost:8001/api/v1/namespaces/<namespace>/secrets

找到包含token的secret名称后，访问以下URL来获取token的详细信息：

http://localhost:8001/api/v1/namespaces/<namespace>/secrets/<secret-name>

在返回的JSON数据中，你会看到一个字段data.token，这个字段的值就是base64编码的token。使用base64命令来解码它：

echo <base64-encoded-token> | base64 --decode

这样，你就能获取到k8s的token。

十一、结合CI/CD管道获取token

在CI/CD管道中，你可以通过配置任务来自动获取k8s的token。例如，在Jenkins中，你可以使用Kubernetes插件来配置一个任务，自动获取并使用k8s的token。首先，在Jenkins中配置Kubernetes插件，确保Jenkins能够访问你的Kubernetes集群。然后，在Jenkins任务中添加一个Shell执行步骤，使用前面提到的kubectl命令来获取token：

kubectl -n <namespace> get secret
kubectl -n <namespace> describe secret <secret-name>

将获取到的token存储在环境变量中，供后续任务使用。

十二、使用Kubernetes Operator获取token

Kubernetes Operator是一种扩展Kubernetes API的方式，可以自动化管理复杂的应用。你可以编写一个自定义Operator来自动获取和管理k8s的token。首先，使用Operator SDK来创建一个新的Operator项目，在项目中定义一个控制器，监听特定资源的变化，并在变化时自动获取token。然后，将获取到的token存储在一个ConfigMap或Secret中，供其他应用使用。这样，你就可以通过Operator来自动化管理k8s的token，提高效率和安全性。

通过这些方法，你可以轻松获取k8s的token，无论是使用kubectl命令、API服务器、服务账户，还是通过脚本、CI/CD管道和Operator。这些方法各有优劣，可以根据你的具体需求选择最适合的方法。