context:
name: context-zs
namespace: zhangsan
current-context: ”context-zs“


这个文件就写好了，但是目前来看他与管理员的那个admin.conf好像不一样，那个文件里面内容很多，这个很少

这是因为我们还没有将刚刚创建出来的那些密钥文件嵌入进去

8. 嵌入密钥文件

# 1. 嵌入ca文件


set-cluster与刚刚文件里的一样就好了 server地址就是master的ip加上6443端口


[root@master ca]# kubectl config –kubeconfig=kube-zhangsan set-cluster cluster-zs –server=https://192.168.200.200:6443 –certificate-authority=ca.crt –embed-certs=true

Cluster ”cluster-zs“ set.


2. 嵌入client


[root@master ca]# kubectl config –kubeconfig=kube-zhangsan set-credentials zhangsan –client-certificate=client.crt –client-key=client.key –embed-certs=true

User ”zhangsan“ set.


3. 设置上下文信息


[root@master ca]# kubectl config –kubeconfig=kube-zhangsan set-context context-zs –cluster=cluster-zs –namespace=zhangsan –user=zhangsan

Context ”context-zs“ modified.

这3个操作搞定之后，你再去看看这个文件，你会发现他跟admin.conf是一样一样的了

9. 验证权限

这个文件我们就算搞定了，我们来看看使用这个文件所拥有的权限是否是与我们预期的一样

[root@node1 ~]# kubectl get pods –kubeconfig=kube-zhangsan

NAME     READY   STATUS    RESTARTS   AGE

test01   1⁄1     Running   0          9m


可以看到pod，我们尝试一下能否创建pod


[root@node1 ~]# kubectl run test02 –image nginx –kubeconfig=kube-zhangsan

Error from server (Forbidden): pods is forbidden: User ”zhangsan“ cannot create resource ”pods“ in API group ”“ in the namespace ”zhangsan“


我们看报错信息，用户zhangsan是不能创建的，我们来看看除了pod之外的其他资源是否可见


[root@node1 ~]# kubectl get ns –kubeconfig=kube-zhangsan

Error from server (Forbidden): namespaces is forbidden: User ”zhangsan“ cannot list resource ”namespaces“ in API group ”“ at the cluster scope

现在这个文件符合我们预期的权限，那么这就是创建一个用户并授权的过程

静态token登录

这个方法用人话来讲就是，账号密码登录

静态的方式就是创建一个csv文件，csv文件的格式是

token,user,id

token这一栏我们可以使用openssl生成

1. 生成token

# 注意文件位置，最好放在/etc/kubernetes/pki下，因为k8s默认只对/etc/kubernetes这个目录有权限操作，放在其他位置可能会产生权限错误

[root@master pki]# openssl rand -hex 10 > jerry.csv

[root@master pki]# cat jerry.csv


这里的用户名和id可以自己改动


3127c2e2b863d4c23878a,jerry,2000

在apiserver加入参数

# 默认情况下你刚刚写的文件与集群是没有任何关联的，如果想要产生作用需要在kube-apiserver文件加入参数

[root@master manifests]# vim /etc/kubernetes/manifests/kube-apiserver.yaml

spec:

containers:



command:



kube-apiserver


在这里加上 –token-auth-file后面就是你刚刚的那个文件


–token-auth-file=/etc/kubernetes/pki/jerry.csv


–advertise-address=192.168.200.200


–allow-privileged=true


然后重启kubelet


[root@master pki]# systemctl restart kubelet

2. 尝试登录集群

[root@node1 pki]# kubectl –server=”https://192.168.200.200:6443" –token=“3127c2e2b863d4c23878a” get pod -n default

Unable to connect to the server: x509: certificate signed by unknown authority

他会有一个报错，但是我们现在没有使用x509的证书啊，所以我们需要让他跳过安全认证

3. 带上参数再次尝试

[root@node1 pki]# kubectl –server=“https://192.168.200.200:6443" –token=”3127c2e2b863d4c23878a“ get pod  –insecure-skip-tls-verify=true -n zhangsan

Error from server (Forbidden): pods is forbidden: User ”jerry“ cannot list resource ”pods“ in API group ”“ in the namespace ”zhangsan“

现在我们再来看，他报的错是不是跟刚刚不一样了，这个报错说的是jerry这个用户没有权限

能看到这个其实就说明我们已经可以登录了，只是没有权限看到一些信息罢了

• ”“
  resources:
  

• pods
  verbs:
  

• get
  

• list
  

• watch
  

  加上这个他就可以创建pod了，如果加上delete那么他就可以删除
  

• create


  然后我们再apply这个文件

  [root@master role]# kubectl apply -f jerry.yaml
  
  role.rbac.authorization.k8s.io/jerry configured
  
  

  5. 验证是否成功增加权限

  [root@node1 manifests]# kubectl –server=”https://192.168.200.200:6443" –token=“3127c2e2b863d4c23878a”   –insecure-skip-tls-verify=true -n zhangsan run test02 –image nginx
  
  pod/test02 created
  
  

  我们可以看到pod被创建出来了，说明刚刚的权限已经增加上了
  
  这里我们仅仅只是针对pod的操作，如果我要创建一个deployment控制器呢？
  
  上操作

  6. deploymentde的操作

  我们仔细观察一下jerry.yaml这个文件，发现里面有一行写的是pods，那我们是不是直接在这里加上deployments就好了呢？
  
  我们来试试

  # 修改yaml文件
  
  apiVersion: rbac.authorization.k8s.io/v1
  
  kind: Role
  
  metadata:
  
  creationTimestamp: null
  
  name: jerry
  
  rules:
  

• “”
  resources:
  
• pods
  
• deployments
  verbs:
  
• get
  
• list
  
• watch
  
• create


  然后我们apply这个文件

  [root@master role]# kubectl apply -f jerry.yaml
  
  role.rbac.authorization.k8s.io/jerry configured
  
  

  我们来看看是不是能够创建deployment了

  [root@node1 manifests]# kubectl –server=“https://192.168.200.200:6443" –token=”3127c2e2b863d4c23878a“   –insecure-skip-tls-verify=true -n zhangsan create deployment test03 –image nginx
  
  error: failed to create deployment: deployments.apps is forbidden: User ”jerry“ cannot create resource ”deployments“ in API group ”apps“ in the namespace ”zhangsan“
  
  

  喔嚯，报错了，我们不是加上了deployment吗？
  
  这其实是因为我们还需要给他指定apiGroup，光指定资源是不行的，能创建pod是因为pod他的apiVersion就是v1，而deployment的apiVersion是apps/v1所以他会报错，那我们再来修改一下文件

  apiVersion: rbac.authorization.k8s.io/v1
  
  kind: Role
  
  metadata:
  
  creationTimestamp: null
  
  name: jerry
  
  rules:
  

• ”“
  

  加上这个，如果你想要创建其他的资源，那么你也要在这里写上
  

  查询apiVersion很简单，你可以使用kubectl create xxx –dry-run 的方式，也可以直接 kubectl api-version去查，查到之后填到这里
  

• ”apps“
  resources:
  

• pods
  

• deployments
  verbs:
  

• get
  

• list
  

• watch
  

• create


  然后我们apply之后再来创建

  [root@node1 manifests]# kubectl –server=”https://192.168.200.200:6443" –token=“3127c2e2b863d4c23878a”   –insecure-skip-tls-verify=true -n zhangsan create deployment test03 –image nginx
  
  deployment.apps/test03 created
  
  

  我们现在是可以创建deployment了，那我们想更新他的副本数量也是可以的嘛？来看看

  [root@node1 manifests]# kubectl –server=“https://192.168.200.200:6443" –token=”3127c2e2b863d4c23878a“   –insecure-skip-tls-verify=true -n zhangsan scale deployment test03 –replicas 3
  
  Error from server (Forbidden): deployments.apps ”test03“ is forbidden: User ”jerry“ cannot patch resource ”deployments/scale“ in API group ”apps“ in the namespace ”zhangsan“
  
  

  他又报错了，他说不能patch，那我们在verb里面加上个试试看呢，等一下，注意看完报错，他说resource里面是deployments/scale我们好像也没有给他这个资源，一并加上
  
  最终的yaml文件是这样的

  apiVersion: rbac.authorization.k8s.io/v1
  
  kind: Role
  
  metadata:
  
  creationTimestamp: null
  
  name: jerry
  
  rules:
  

• ”“
  

• ”apps“
  resources:
  

• pods
  

• deployments/scale
  

• deployments
  verbs:
  

• get
  

• patch
  

• list
  

• watch
  

• create


  我们apply之后再来试试看呢

  [root@master role]# kubectl apply -f jerry.yaml
  
  role.rbac.authorization.k8s.io/jerry configured
  
  
  修改副本数
  
  
  [root@node1 manifests]# kubectl –server=”https://192.168.200.200:6443" –token=“3127c2e2b863d4c23878a”   –insecure-skip-tls-verify=true -n zhangsan scale deployment test03 –replicas 3
  
  deployment.apps/test03 scaled
  
  

  我们可以看到现在他可以了
  
  这个yaml文件还可以有另外一种格式

  apiVersion: rbac.authorization.k8s.io/v1
  
  kind: Role
  
  metadata:
  
  creationTimestamp: null
  
  name: jerry
  
  rules:
  

apiGroups: [“”,“apps”]
resources: [“pods”,“deployments”]
verbs: [“get”,“delete”,“watch”]


这种方式也可以，喜欢用哪种就用哪种，无所谓的嘛

这个就是role和rolebinding

clusterrole和clusterrolebinding

clusterrole对于role来说，role是属于某个命名空间的，而clusterrole是属于整个集群的，clusterrole可以进行clusterrolebinding，也可以进行rolebinding，rolebinding的时候指定一下命名空间就可以了

使用rolebinding的时候它就相当于是将clusterrole的权限模板给了某个命名空间下的某个用户，也就是说在你进行rolebinding的时候你就当这个clusterrole就是一个普通的没有指定特定命名空间的role

我们可以这样想一下，我们有很多个命名空间，然后每个命名空间里的用户权限其实都是差不多的，那么如果我要是使用role的话，我就需要每个命名空间下都要去创建role，费时费力

但是我们使用clusterrole的话，所有命名空间都可以看到这个clusterrole，那么就无需每个命名空间都去创建role了，直接rolebingding就好了

1. 创建一个新的用户，使用token

[root@master pki]# openssl rand -hex 10 >> /etc/kubernetes/pki/jerry.csv

[root@master pki]# cat jerry.csv


这里的token不一样长可能是因为我按a插入的时候多按了一下，没什么太大的问题，token是可以自己写的


3127c2e2b863d4c23878a,jerry,2000

958a15cfa9431e088e0b,tom,2001

2. 创建clusterrole

这个创建方法与role是一样的

[root@master role]# kubectl create clusterrole cluster-pod –verb=get,list,watch –resource=pods –dry-run=client -o yaml > clusterrole.yaml

[root@master role]# cat clusterrole.yaml

apiVersion: rbac.authorization.k8s.io/v1

kind: ClusterRole

metadata:

creationTimestamp: null

name: cluster-pod

rules:

• “”
  resources:
  

• pods
  verbs:
  

• get
  

• list
  

• watch


  3. clusterrolebinding

  [root@master role]# kubectl create clusterrolebinding cluster-tom –clusterrole=cluster-pod –user=tom –token=“958a15cfa9431e088e0b”
  
  

  4. 验证权限

  在验证权限之前我建议退出shell重新登录一下，或者重启一下节点，因为你直接登录的话他可能会报错
  
  error: You must be logged in to the server (Unauthorized)
  
  我就遇到这个问题了，我的解决方式是将kube-system里面的apiserver这个pod重启了

  # 查看pod
  
  [root@node1 manifests]# kubectl –server=“https://192.168.200.200:6443" –token=”958a15cfa9431e088e0bb“   –insecure-skip-tls-verify=true -n zhangsan get pods
  
  NAME                      READY   STATUS    RESTARTS   AGE
  
  test01                    1⁄1     Running   0          6h29m
  
  test03-6484c64bb6-88xlr   1⁄1     Running   0          81m
  
  test03-6484c64bb6-9hf4l   1⁄1     Running   0          75m
  
  test03-6484c64bb6-w4zwk   1⁄1     Running   0          75m
  
  
  查看其他命名空间的pod
  
  
  [root@node1 manifests]# kubectl –server=”https://192.168.200.200:6443" –token=“958a15cfa9431e088e0bb”   –insecure-skip-tls-verify=true -n kube-system get pods
  
  NAME                             READY   STATUS    RESTARTS        AGE
  
  coredns-5bbd96d687-9tsbb         1⁄1     Running   38 (7h6m ago)   42d
  
  coredns-5bbd96d687-q6dl8         1⁄1     Running   38 (7h6m ago)   42d
  
  etcd-master                      1⁄1     Running   42 (7h6m ago)   44d
  
  kube-apiserver-master            1⁄1     Running   0               13m
  
  kube-controller-manager-master   1⁄1     Running   63 (3h1m ago)   44d
  
  kube-proxy-mp98s                 1⁄1     Running   40 (7h6m ago)   44d
  
  kube-proxy-snk8k                 1⁄1     Running   46 (7h6m ago)   44d
  
  kube-proxy-xmxpj                 1⁄1     Running   38 (7h6m ago)   44d
  
  kube-scheduler-master            1⁄1     Running   61 (3h1m ago)   44d
  
  metrics-server-54b5b8fb6-v4cqx   1⁄1     Running   29 (7h4m ago)   7d1h
  
  

  我们可以看到，他可以看到其他命名空间下的pod，这就是role和clusterrole的区别了
  
  至于他能不能创建pod，能不能创建deployment，这些东西就是跟role是一样的了