普通账户如何使用k8s

普通账户可以通过配置权限、使用角色绑定和服务账户来使用Kubernetes (k8s)。 在Kubernetes集群中，每个用户需要适当的权限才能执行某些操作，例如创建、更新或删除资源。通过配置角色和角色绑定，可以确保普通账户获得适当的权限，同时保持集群的安全性。角色绑定（RoleBinding）将角色（Role）绑定到用户或组，从而授予他们特定的权限。具体步骤包括创建角色（Role）、创建角色绑定（RoleBinding）、使用kubectl命令行工具和配置 kubeconfig 文件。 例如，创建一个仅允许读取Pod信息的角色，并将其绑定到普通用户账户，从而限制其操作权限。

一、配置权限

在Kubernetes中，权限管理主要通过角色（Role）和角色绑定（RoleBinding）来实现。角色定义了一组权限，而角色绑定将这些权限应用于用户或组。首先，创建一个角色来定义所需的权限。例如，你可以创建一个仅允许读取Pod信息的角色：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "watch", "list"]

这个角色被称为“pod-reader”，它允许用户“get”、“watch”和“list”Pod资源。注意，这些权限仅限于“default”命名空间。如果你希望角色在整个集群范围内有效，可以使用ClusterRole。

二、创建角色绑定

创建角色后，下一步是将该角色绑定到特定用户。角色绑定（RoleBinding）将角色应用于命名空间内的用户或组：

apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: read-pods namespace: default subjects: - kind: User name: "ordinary-user" apiGroup: rbac.authorization.k8s.io roleRef: kind: Role name: pod-reader apiGroup: rbac.authorization.k8s.io

在这个例子中，RoleBinding名为“read-pods”，它将“pod-reader”角色绑定到名为“ordinary-user”的用户。这样，“ordinary-user”便获得了在“default”命名空间中读取Pod信息的权限。

三、使用kubectl命令行工具

使用kubectl命令行工具可以与Kubernetes集群进行交互。配置kubeconfig文件以使用普通账户。首先，生成用户凭证并更新kubeconfig文件：

kubectl config set-credentials ordinary-user --client-certificate=path-to-cert --client-key=path-to-key kubectl config set-context ordinary-user-context --cluster=my-cluster --namespace=default --user=ordinary-user kubectl config use-context ordinary-user-context

这将创建一个名为“ordinary-user”的凭证，并将其与集群和命名空间关联。使用“ordinary-user-context”上下文，普通用户可以通过kubectl命令行工具与集群进行交互。例如，查看Pod信息：

kubectl get pods

由于权限设置，这个命令将仅返回普通用户在“default”命名空间内的Pod信息。

四、使用服务账户

除了使用普通用户账户，Kubernetes还提供了服务账户（ServiceAccount），用于在Pod中运行进程时进行身份验证。创建一个服务账户并绑定角色：

apiVersion: v1 kind: ServiceAccount metadata: name: pod-reader-sa namespace: default

然后创建一个RoleBinding，将角色绑定到服务账户：

apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: read-pods-sa namespace: default subjects: - kind: ServiceAccount name: pod-reader-sa namespace: default roleRef: kind: Role name: pod-reader apiGroup: rbac.authorization.k8s.io

通过将服务账户挂载到Pod中，可以确保Pod中的进程具有相应的权限。例如，在Pod定义中引用服务账户：

apiVersion: v1 kind: Pod metadata: name: example-pod namespace: default spec: serviceAccountName: pod-reader-sa containers: - name: example-container image: nginx

这样，运行在该Pod中的进程将使用“pod-reader-sa”服务账户，并拥有“pod-reader”角色赋予的权限。