k8s怎么设置用户权限

在Kubernetes（K8s）中，设置用户权限的核心步骤包括：创建角色、创建角色绑定、配置RBAC授权模式。 其中，配置RBAC授权模式是关键。Kubernetes使用基于角色的访问控制（RBAC）来管理对资源的访问权限。RBAC通过定义角色和角色绑定，将特定的权限分配给用户或组。首先，需要创建角色，定义该角色的权限范围。然后，通过角色绑定将角色应用到用户或组上，以便这些用户或组拥有相应的权限。下面将详细介绍如何完成这些步骤。

一、创建角色

在Kubernetes中，角色（Role）和集群角色（ClusterRole）用于定义访问权限。角色在命名空间内定义，而集群角色在整个集群范围内定义。以下是创建角色的详细步骤：

创建Role示例：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: pod-reader
rules:
- apiGroups: [""] # "" 表示 core API group
  resources: ["pods"]
  verbs: ["get", "watch", "list"]

这个示例创建了一个名为pod-reader的角色，它允许读取default命名空间中的Pod资源，包括获取、监视和列出Pod。

创建ClusterRole示例：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cluster-admin
rules:
- apiGroups: ["*"]
  resources: ["*"]
  verbs: ["*"]

这个示例创建了一个名为cluster-admin的集群角色，它允许对所有API组的所有资源执行所有操作。

二、创建角色绑定

角色绑定（RoleBinding）和集群角色绑定（ClusterRoleBinding）将角色分配给用户或组。角色绑定在命名空间内应用，而集群角色绑定在集群范围内应用。

创建RoleBinding示例：

apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: read-pods namespace: default subjects: - kind: User name: "jane" # 用户名 apiGroup: rbac.authorization.k8s.io roleRef: kind: Role name: pod-reader apiGroup: rbac.authorization.k8s.io

这个示例创建了一个名为read-pods的角色绑定，将pod-reader角色分配给用户名为jane的用户，使其能够读取default命名空间中的Pod。

创建ClusterRoleBinding示例：

apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata: name: admin-binding subjects: - kind: User name: "john" # 用户名 apiGroup: rbac.authorization.k8s.io roleRef: kind: ClusterRole name: cluster-admin apiGroup: rbac.authorization.k8s.io

这个示例创建了一个名为admin-binding的集群角色绑定，将cluster-admin集群角色分配给用户名为john的用户，使其在整个集群范围内拥有管理员权限。

三、配置RBAC授权模式

要使RBAC生效，必须在Kubernetes API服务器上启用RBAC授权模式。通常，这在Kubernetes集群的启动配置中进行。具体步骤如下：

编辑API服务器的启动参数，添加--authorization-mode=RBAC。
确保API服务器重新启动以应用更改。

可以使用如下命令来验证RBAC是否已启用：

kubectl api-versions | grep rbac.authorization.k8s.io

如果RBAC已启用，命令输出将包含rbac.authorization.k8s.io/v1。

四、管理用户认证

用户认证是用户权限设置的基础。Kubernetes支持多种认证方式，包括客户端证书、Bearer令牌、OIDC等。以下是几种常用的认证方式：

使用客户端证书：

为用户生成私钥和证书签名请求（CSR）。
使用集群的CA签署CSR，生成用户证书。
将用户证书和私钥配置到kubeconfig文件中。

示例kubeconfig文件：

apiVersion: v1 kind: Config users: - name: jane user: client-certificate: /path/to/jane.crt client-key: /path/to/jane.key

使用Bearer令牌：

生成或获取Bearer令牌。
将Bearer令牌配置到kubeconfig文件中。

示例kubeconfig文件：

apiVersion: v1 kind: Config users: - name: jane user: token: your-bearer-token

使用OIDC：

配置OIDC提供者。
配置Kubernetes API服务器以使用OIDC。

示例API服务器启动参数：

--oidc-issuer-url=https://accounts.google.com
--oidc-client-id=YOUR_CLIENT_ID
--oidc-username-claim=email

五、监控和审计权限

定期监控和审计用户权限对于保持集群安全至关重要。Kubernetes提供了多种工具和功能来实现这一点。

使用kubectl查看角色和绑定：

kubectl get roles --all-namespaces kubectl get rolebindings --all-namespaces kubectl get clusterroles kubectl get clusterrolebindings

这些命令列出了集群中所有的角色和角色绑定，方便管理员检查和管理权限。

启用审计日志：

Kubernetes支持审计日志记录API请求，帮助管理员跟踪和审查用户行为。配置审计日志的方法如下：

编辑API服务器的启动参数，添加审计相关参数，例如：

--audit-log-path=/var/log/kubernetes/audit.log
--audit-log-maxage=30
--audit-log-maxbackup=10
--audit-log-maxsize=100

配置审计策略文件，指定哪些事件应记录：

apiVersion: audit.k8s.io/v1 kind: Policy rules: - level: Metadata resources: - group: "" resources: ["pods"] users: ["system:serviceaccount:kube-system:default"]

这个示例配置将记录所有Pod相关的事件的元数据，由默认的kube-system命名空间中的服务账号触发的。