认证
开启 TLS 时,所有的请求都需要首先认证。Kubernetes 支持多种认证机制,并支持同时开启多个认证插件(只要有一个认证通过即可)。如果认证成功,则用户的 username 会传入授权模块做进一步授权验证;而对于认证失败的请求则返回 HTTP 401。
Kubernetes 不直接管理用户
虽然 Kubernetes 认证和授权用到了 user 和 group,但 Kubernetes 并不直接管理用户,不能创建 user 对象,也不存储 user。
目前,Kubernetes 支持以下认证插件:
    X509 证书
    静态 Token 文件
    引导 Token
    静态密码文件
    Service Account
    OpenID
    Webhook
    认证代理
    OpenStack Keystone 密码

X509 证书

使用 X509 客户端证书只需要 API Server 启动时配置 --client-ca-file=SOMEFILE。在证书认证时,其 Common Name(CN)域用作用户名,而 Organization(O)域则用作 group 名。
创建一个客户端证书的方法为:
1
# Create private key
2
openssl genrsa -out username.key 2048
3
# Create CSR (certificate signing request)
4
openssl req -new -key username.key -out username.csr -subj "/CN=username/O=group"
5
# Create certificate from CSR using the cluster authority
6
openssl x509 -req -in username.csr -CA $CA_LOCATION/ca.crt -CAkey $CA_LOCATION/ca.key -CAcreateserial -out username.crt -days 500
Copied!
接着,就可以使用 username.key 和 username.crt 来访问集群:
1
# Config cluster
2
kubectl config set-cluster my-cluster --certificate-authority=ca.pem --embed-certs=true --server=https://<APISERVER_IP>:6443
3
# Config credentials
4
kubectl config set-credentials username --client-certificate=username.crt --client-key=username.key --embed-certs=true
5
# Config context
6
kubectl config set-context username --cluster=my-cluster --user=username
7
# Config RBAC if it's enabled
8
# Finally, switch to new context
9
kubectl config use-context username
Copied!

静态 Token 文件

使用静态 Token 文件认证只需要 API Server 启动时配置 --token-auth-file=SOMEFILE。该文件为 csv 格式,每行至少包括三列 token,username,user id,后面是可选的 group 名,比如
1
token,user,uid,"group1,group2,group3"
Copied!
客户端在使用 token 认证时,需要在请求头中加入 Bearer Authorization 头,比如
1
Authorization: Bearer 31ada4fd-adec-460c-809a-9e56ceb75269
Copied!

引导 Token

引导 Token 是动态生成的,存储在 kube-system namespace 的 Secret 中,用来部署新的 Kubernetes 集群。
使用引导 Token 需要 API Server 启动时配置 --experimental-bootstrap-token-auth,并且 Controller Manager 开启 TokenCleaner --controllers=*,tokencleaner,bootstrapsigner
在使用 kubeadm 部署 Kubernetes 时,kubeadm 会自动创建默认 token,可通过 kubeadm token list 命令查询。

静态密码文件

需要 API Server 启动时配置 --basic-auth-file=SOMEFILE,文件格式为 csv,每行至少三列 password, user, uid,后面是可选的 group 名,如
1
password,user,uid,"group1,group2,group3"
Copied!
客户端在使用密码认证时,需要在请求头重加入 Basic Authorization 头,如
1
Authorization: Basic BASE64ENCODED(USER:PASSWORD)
Copied!

Service Account

ServiceAccount 是 Kubernetes 自动生成的,并会自动挂载到容器的 /var/run/secrets/kubernetes.io/serviceaccount 目录中。
在认证时,ServiceAccount 的用户名格式为 system:serviceaccount:(NAMESPACE):(SERVICEACCOUNT),并从属于两个 group:system:serviceaccountssystem:serviceaccounts:(NAMESPACE)

OpenID

OpenID 提供了 OAuth2 的认证机制,是很多云服务商(如 GCE、Azure 等)的首选认证方法。
使用 OpenID 认证,API Server 需要配置
    --oidc-issuer-url,如 https://accounts.google.com
    --oidc-client-id,如 kubernetes
    --oidc-username-claim,如 sub
    --oidc-groups-claim,如 groups
    --oidc-ca-file,如 /etc/kubernetes/ssl/kc-ca.pem

Webhook

API Server 需要配置
1
# 配置如何访问 webhook server
2
--authentication-token-webhook-config-file
3
# 默认 2 分钟
4
--authentication-token-webhook-cache-ttl
Copied!
配置文件格式为
1
# clusters refers to the remote service.
2
clusters:
3
- name: name-of-remote-authn-service
4
cluster:
5
# CA for verifying the remote service.
6
certificate-authority: /path/to/ca.pem
7
# URL of remote service to query. Must use 'https'.
8
server: https://authn.example.com/authenticate
9
10
# users refers to the API server's webhook configuration.
11
users:
12
- name: name-of-api-server
13
user:
14
# cert for the webhook plugin to use
15
client-certificate: /path/to/cert.pem
16
# key matching the cert
17
client-key: /path/to/key.pem
18
19
# kubeconfig files require a context. Provide one for the API server.
20
current-context: webhook
21
contexts:
22
- context:
23
cluster: name-of-remote-authn-service
24
user: name-of-api-sever
25
name: webhook
Copied!
Kubernetes 发给 webhook server 的请求格式为
1
{
2
"apiVersion": "authentication.k8s.io/v1beta1",
3
"kind": "TokenReview",
4
"spec": {
5
"token": "(BEARERTOKEN)"
6
}
7
}
Copied!
示例:kubernetes-github-authn 实现了一个基于 WebHook 的 github 认证。

认证代理

API Server 需要配置
1
--requestheader-username-headers=X-Remote-User
2
--requestheader-group-headers=X-Remote-Group
3
--requestheader-extra-headers-prefix=X-Remote-Extra-
4
# 为了防止头部欺骗,证书是必选项
5
--requestheader-client-ca-file
6
# 设置允许的 CN 列表。可选。
7
--requestheader-allowed-names
Copied!

OpenStack Keystone 密码

需要 API Server 在启动时指定 --experimental-keystone-url=<AuthURL>,而 https 时还需要设置 --experimental-keystone-ca-file=SOMEFILE
不支持 Keystone v3
目前只支持 keystone v2.0,不支持 v3(无法传入 domain)。

匿名请求

如果使用 AlwaysAllow 以外的认证模式,则匿名请求默认开启,但可用 --anonymous-auth=false 禁止匿名请求。
匿名请求的用户名格式为 system:anonymous,而 group 则为 system:unauthenticated

Credential Plugin

从 v1.11 开始支持 Credential Plugin(Beta),通过调用外部插件来获取用户的访问凭证。这是一种客户端认证插件,用来支持不在 Kubernetes 中内置的认证协议,如 LDAP、OAuth2、SAML 等。它通常与 Webhook 配合使用。
Credential Plugin 可以在 kubectl 的配置文件中设置,比如
1
apiVersion: v1
2
kind: Config
3
users:
4
- name: my-user
5
user:
6
exec:
7
# Command to execute. Required.
8
command: "example-client-go-exec-plugin"
9
10
# API version to use when decoding the ExecCredentials resource. Required.
11
#
12
# The API version returned by the plugin MUST match the version listed here.
13
#
14
# To integrate with tools that support multiple versions (such as client.authentication.k8s.io/v1alpha1),
15
# set an environment variable or pass an argument to the tool that indicates which version the exec plugin expects.
16
apiVersion: "client.authentication.k8s.io/v1beta1"
17
18
# Environment variables to set when executing the plugin. Optional.
19
env:
20
- name: "FOO"
21
value: "bar"
22
23
# Arguments to pass when executing the plugin. Optional.
24
args:
25
- "arg1"
26
- "arg2"
27
clusters:
28
- name: my-cluster
29
cluster:
30
server: "https://172.17.4.100:6443"
31
certificate-authority: "/etc/kubernetes/ca.pem"
32
contexts:
33
- name: my-cluster
34
context:
35
cluster: my-cluster
36
user: my-user
37
current-context: my-cluster
Copied!
具体的插件开发及使用方法请参考 kubernetes/client-go

开源工具

如下的开源工具可以帮你简化认证和授权的配置:

参考资料

最近更新 2yr ago