严酷把控K8S集群中的操作权限,为平凡用户生成特定的kubeconfig文件 ...

笑看天下无敌手  论坛元老 | 2025-3-17 05:04:42 | 显示全部楼层 | 阅读模式
打印 上一主题 下一主题
楼主

主题 1067|帖子 1067|积分 3201


  
前言

利用并维护过K8S的ops/sre都知道,kubeconfig对于k8s的访问是非常紧张。无论是摆设，调试还是运维，都需要kubeconfig文件。在通过二进制或者kubeadm方式摆设完一套集群后,会在/root/.kube/目录下产生一个config文件,这个文件就是集群的管理文件，假如直接给将该文件给到其他人员肯定不合适，由于管理员的kubeconfig可以干任何事情，注意是任何事情。包括删除节点等高危操作。因此，就涉及到了k8s集群的权限管理。
一、背景

生产环境已存在一套k8s集群,你是集群的管理员，你的同事目前想操作集群中test定名空间下的资源，然后跟你要管理员权限进入集群，你说你能给嘛？固然不行啦，那你作为管理员怎么办呢？那就是给他结合集群中的RBAC权限控制机制，创建一个新的config文件且只能操作test空间下的资源
二、证书和证书签名请求(相识)

Kubernetes 证书和信任包（trust bundle）API 可以通过为 Kubernetes API 的客户端提供编程接口， 实现 X.509 根据的自动化制备， 从而请求并获取证书颁发机构（CA）发布的 X.509 证书。
1.证书签名请求

  1. CertificateSigningRequest （CSR）资源用来向指定的签名者申请证书签名， 在最终签名之前，申请可能被批准，也可能被拒绝
复制代码
2.请求签名流程

  1. 1、CertificateSigningRequest 资源类型允许客户端基于签名请求申请发放 X.509 证书。
  2.         CertificateSigningRequest 对象在 spec.request 字段中包含一个 PEM 编码的 PKCS 签名请求。
  3.         CertificateSigningRequest 使用 spec.signerName 字段标示签名者（请求的接收方）。
  4.                 注意:
  5.                         1、spec.signerName 在 certificates.k8s.io/v1 之后的 API 版本是必填项。
  6.                         2、在 Kubernetes v1.22 和以后的版本，客户可以设置 spec.expirationSeconds 字段（可选）来为颁发的证书设定一个特定的有效期。
  7.                                 该字段的最小有效值是 600，也就是 10 分钟。
  9. 2、创建完成的 CertificateSigningRequest，要先通过批准，然后才能签名。
  10.          根据所选的签名者，CertificateSigningRequest 可能会被控制器自动批准。 否则，就必须人工批准，
  11.          人工批准可以使用 REST API（或 client-go），也可以执行 kubectl certificate approve 命令。
  12.          同样，CertificateSigningRequest 也可能被驳回， 这就相当于通知了指定的签名者，这个证书不能签名。
  14. 3、对于已批准的证书，下一步是签名。 对应的签名控制器首先验证签名条件是否满足，然后才创建证书。
  15.         签名控制器然后更新 CertificateSigningRequest， 将新证书保存到现有 CertificateSigningRequest 对象的 status.certificate 字段中。
  16.         此时，字段 status.certificate 要么为空，要么包含一个用 PEM 编码的 X.509 证书。
  17.         直到签名完成前，CertificateSigningRequest 的字段 status.certificate 都为空。
  19. 4、一旦 status.certificate 字段完成填充，请求既算完成，
  20. 客户端现在可以从 CertificateSigningRequest 资源中获取已签名的证书的 PEM 数据。 当然如果不满足签名条件，签名者可以拒签。
  22. 注意:
  23.         为了减少集群中遗留的过时的 CertificateSigningRequest 资源的数量， 一个垃圾收集控制器将会周期性地运行。
  24.         此垃圾收集器会清除在一段时间内没有改变过状态的 CertificateSigningRequest:
  25.                 已批准的请求: 1 小时后自动删除
  26.                 已拒绝的请求: 1 小时后自动删除
  27.                 已失败的请求: 1 小时后自动删除
  28.                 挂起的请求: 24 小时后自动删除
  29.                 所有请求: 在颁发的证书过期后自动删除
复制代码
3.Kubernetes 签名者

   相关知识如下
  Kubernetes 提供了内置的签名者，每个签名者都有一个众所周知的 signerName：
kubernetes.io/kube-apiserver-client：签名的证书将被 API 服务器视为客户端证书， kube-controller-manager 不会自动批准它。
1、信任分发：签名的证书将被 API 服务器视为客户端证书，CA 证书包不通过任何其他方式分发。
2、许可的主体：没有主体限制，但审核人和签名者可以选择不批准或不签订。 某些主体，好比集群管理员级别的用户或组因摆设和安装方式不同而不同， 所以批准和签订之前需要举行额外仔细检察。 用来限制 system:masters 的 CertificateSubjectRestriction 准入插件默认处于启用状态， 但它通常不是集群中唯一的集群管理员主体。
3、许可的 x509 扩展：允许 subjectAltName 和 key usage 扩展，弃用其他扩展。
4、许可的密钥用途：必须包罗 [“client auth”]，但不能包罗 [“digital signature”, “key encipherment”, “client auth”] 之外的键。
5、过期时间/证书有效期：对于 kube-controller-manager 实现的签名者， 设置为 --cluster-signing-duration 选项和 CSR 对象的 spec.expirationSeconds 字段（如有设置该字段）中的最小值。
6、允许/不允许 CA 位：不允许。
kubernetes.io/kube-apiserver-client-kubelet：签名的证书将被 kube-apiserver 视为客户端证书。 kube-controller-manager 可以自动批准它。
1、信任分发：签名的证书将被 API 服务器视为客户端证书，CA 证书包不通过任何其他方式分发。
2、许可的主体：构造名必须是 [“system:nodes”]，通用名称为 “system:node{NODE_NAME}” 开头
3、许可的 x509 扩展：允许 key usage 扩展，禁用 subjectAltName 扩展，并删除其他扩展。
4、许可的密钥用途：[“key encipherment”, “digital signature”, “client auth”] 或 [“digital signature”, “client auth”]。
5、过期时间/证书有效期：对于 kube-controller-manager 实现的签名者， 设置为 --cluster-signing-duration 选项和 CSR 对象的 spec.expirationSeconds 字段（如有设置该字段）中的最小值。
6、允许/不允许 CA 位：不允许。
kubernetes.io/kubelet-serving：签名服务端证书，该服务证书被 API 服务器视为有效的 kubelet 服务端证书， 但没有其他保证。kube-controller-manager 不会自动批准它。
1、信任分发：签名的证书必须被 kube-apiserver 认可，可有效的中止 kubelet 连接，CA 证书包不通过任何其他方式分发。
2、许可的主体：构造名必须是 [“system:nodes”]，通用名称为 “system:node{NODE_NAME}” 开头
3、许可的 x509 扩展：允许 key usage、DNSName/IPAddress subjectAltName 等扩展， 禁止 EmailAddress、URI subjectAltName 等扩展，并丢弃其他扩展。 至少有一个 DNS 或 IP 的 SubjectAltName 存在。
4、许可的密钥用途：[“key encipherment”, “digital signature”, “server auth”] 或 [“digital signature”, “server auth”]。
5、过期时间/证书有效期：对于 kube-controller-manager 实现的签名者， 设置为 --cluster-signing-duration 选项和 CSR 对象的 spec.expirationSeconds 字段（如有设置该字段）中的最小值。
6、允许/不允许 CA 位：不允许。
kubernetes.io/legacy-unknown：不保证信任。Kubernetes 的一些第三方发行版大概会利用它签订的客户端证书。 稳定版的 CertificateSigningRequest API（certificates.k8s.io/v1 以及之后的版本）不允许将 signerName 设置为 kubernetes.io/legacy-unknown。 kube-controller-manager 不会自动批准这类请求。
1、信任分发：没有。这个签名者在 Kubernetes 集群中没有标准的信任或分发。
2、许可的主体：全部。
3、许可的 x509 扩展：允许 subjectAltName 和 key usage 等扩展，并弃用其他扩展。
4、许可的密钥用途：全部。
5、过期时间/证书有效期：对于 kube-controller-manager 实现的签名者， 设置为 --cluster-signing-duration 选项和 CSR 对象的 spec.expirationSeconds 字段（如有设置该字段）中的最小值。
6、允许/不允许 CA 位 - 不允许。
kube-controller-manager 为每个内置签名者实现了控制平面签名。 注意：所有这些故障仅在 kube-controller-manager 日志中报告。
4.证书过期时间限制字段

要利用expirationSeconds 字段前提是k8s版本是1.22+
  1. 签名请求格式并没有一种标准的方法去设置证书的过期时间或者生命期，
  2. 因此，证书的过期时间或者生命期必须通过 CSR 对象的 spec.expirationSeconds 字段来设置。
  4. 当 spec.expirationSeconds 没有被指定时，
  5. 内置的签名者默认使用 ClusterSigningDuration 配置选项 （kube-controller-manager 的命令行选项 --cluster-signing-duration），
  6. 该选项的默认值设为 1 年。 当 spec.expirationSeconds 被指定时，
  7. spec.expirationSeconds 和 ClusterSigningDuration 中的最小值会被使用
复制代码
二、脚本示例

脚本作用: 用户只能针对某个定名空间下的资源做相应的操作。具体哪些操作可以看脚本中的create_role部分。可以自行修改
   脚本如下（示例）：
  1. #!/bin/bash
  3. # 错误处理函数
  4. function error_exit {
  5.     echo "$1" 1>&2
  6.     exit 1
  7. }
  9. # 检查输入参数是否为空
  10. if [[ -z "$1" || -z "$2" || -z "$3" || -z "$4" ]]; then
  11.     error_exit "Usage: $0 <KUBEAPISERVER> <KUBEUSERNAME> <NAMESPACE> <EXPIRATIONSECONDS>"
  12. fi
  14. # 指定变量
  15. export KUBEAPISERVER="$1"
  16. export KUBEUSERNAME="$2"
  17. export NAMESPACE="$3"
  18. export EXPIRATIONSECONDS="$4"
  20. # 校验命名空间是否为空
  21. if [[ -z "$NAMESPACE" ]]; then
  22.     error_exit "The namespace is not found, please set it."
  23. fi
  25. # 构建用户名
  26. KUBEUSERNAME="${NAMESPACE}_${KUBEUSERNAME}"
  28. # 创建 Role 资源
  29. function create_role {
  30. echo "Creating Role for user: $KUBEUSERNAME in namespace: $NAMESPACE..."
  31. cat <<EOF | kubectl apply -f -
  32. apiVersion: rbac.authorization.k8s.io/v1
  33. kind: Role
  34. metadata:
  35.   name: cluster-$KUBEUSERNAME
  36.   namespace: $NAMESPACE
  37. rules:
  38. - apiGroups:
  39.   - ""
  40.   resources:
  41.   - pods/attach
  42.   - pods/exec
  43.   - pods/portforward
  44.   - pods/proxy
  45.   - secrets
  46.   - services/proxy
  47.   verbs:
  48.   - get
  49.   - list
  50.   - watch
  51. - apiGroups:
  52.   - ""
  53.   resources:
  54.   - serviceaccounts
  55.   verbs:
  56.   - impersonate
  57. - apiGroups:
  58.   - ""
  59.   resources:
  60.   - pods
  61.   - pods/attach
  62.   - pods/exec
  63.   - pods/portforward
  64.   - pods/proxy
  65.   verbs:
  66.   - create
  67.   - delete
  68.   - deletecollection
  69.   - patch
  70.   - update
  71. - apiGroups:
  72.   - ""
  73.   resources:
  74.   - configmaps
  75.   - endpoints
  76.   - persistentvolumeclaims
  77.   - replicationcontrollers
  78.   - replicationcontrollers/scale
  79.   - secrets
  80.   - serviceaccounts
  81.   - services
  82.   - services/proxy
  83.   verbs:
  84.   - create
  85.   - delete
  86.   - deletecollection
  87.   - patch
  88.   - update
  89. - apiGroups:
  90.   - apps
  91.   resources:
  92.   - daemonsets
  93.   - deployments
  94.   - deployments/rollback
  95.   - deployments/scale
  96.   - replicasets
  97.   - replicasets/scale
  98.   - statefulsets
  99.   - statefulsets/scale
  100.   verbs:
  101.   - create
  102.   - delete
  103.   - deletecollection
  104.   - patch
  105.   - update
  106. - apiGroups:
  107.   - autoscaling
  108.   resources:
  109.   - horizontalpodautoscalers
  110.   verbs:
  111.   - create
  112.   - delete
  113.   - deletecollection
  114.   - patch
  115.   - update
  116. - apiGroups:
  117.   - batch
  118.   resources:
  119.   - cronjobs
  120.   - jobs
  121.   verbs:
  122.   - create
  123.   - delete
  124.   - deletecollection
  125.   - patch
  126.   - update
  127. - apiGroups:
  128.   - extensions
  129.   resources:
  130.   - daemonsets
  131.   - deployments
  132.   - deployments/rollback
  133.   - deployments/scale
  134.   - ingresses
  135.   - networkpolicies
  136.   - replicasets
  137.   - replicasets/scale
  138.   - replicationcontrollers/scale
  139.   verbs:
  140.   - create
  141.   - delete
  142.   - deletecollection
  143.   - patch
  144.   - update
  145. - apiGroups:
  146.   - policy
  147.   resources:
  148.   - poddisruptionbudgets
  149.   verbs:
  150.   - create
  151.   - delete
  152.   - deletecollection
  153.   - patch
  154.   - update
  155. - apiGroups:
  156.   - networking.k8s.io
  157.   resources:
  158.   - ingresses
  159.   - networkpolicies
  160.   verbs:
  161.   - create
  162.   - delete
  163.   - deletecollection
  164.   - patch
  165.   - update
  166. - apiGroups:
  167.   - ""
  168.   resources:
  169.   - configmaps
  170.   - endpoints
  171.   - persistentvolumeclaims
  172.   - persistentvolumeclaims/status
  173.   - pods
  174.   - replicationcontrollers
  175.   - replicationcontrollers/scale
  176.   - serviceaccounts
  177.   - services
  178.   - services/status
  179.   verbs:
  180.   - get
  181.   - list
  182.   - watch
  183. - apiGroups:
  184.   - ""
  185.   resources:
  186.   - bindings
  187.   - events
  188.   - limitranges
  189.   - namespaces/status
  190.   - pods/log
  191.   - pods/status
  192.   - replicationcontrollers/status
  193.   - resourcequotas
  194.   - resourcequotas/status
  195.   verbs:
  196.   - get
  197.   - list
  198.   - watch
  199. - apiGroups:
  200.   - ""
  201.   resources:
  202.   - namespaces
  203.   verbs:
  204.   - get
  205.   - list
  206.   - watch
  207. - apiGroups:
  208.   - apps
  209.   resources:
  210.   - controllerrevisions
  211.   - daemonsets
  212.   - daemonsets/status
  213.   - deployments
  214.   - deployments/scale
  215.   - deployments/status
  216.   - replicasets
  217.   - replicasets/scale
  218.   - replicasets/status
  219.   - statefulsets
  220.   - statefulsets/scale
  221.   - statefulsets/status
  222.   verbs:
  223.   - get
  224.   - list
  225.   - watch
  226. - apiGroups:
  227.   - autoscaling
  228.   resources:
  229.   - horizontalpodautoscalers
  230.   - horizontalpodautoscalers/status
  231.   verbs:
  232.   - get
  233.   - list
  234.   - watch
  235. - apiGroups:
  236.   - batch
  237.   resources:
  238.   - cronjobs
  239.   - cronjobs/status
  240.   - jobs
  241.   - jobs/status
  242.   verbs:
  243.   - get
  244.   - list
  245.   - watch
  246. - apiGroups:
  247.   - extensions
  248.   resources:
  249.   - daemonsets
  250.   - daemonsets/status
  251.   - deployments
  252.   - deployments/scale
  253.   - deployments/status
  254.   - ingresses
  255.   - ingresses/status
  256.   - networkpolicies
  257.   - replicasets
  258.   - replicasets/scale
  259.   - replicasets/status
  260.   - replicationcontrollers/scale
  261.   verbs:
  262.   - get
  263.   - list
  264.   - watch
  265. - apiGroups:
  266.   - policy
  267.   resources:
  268.   - poddisruptionbudgets
  269.   - poddisruptionbudgets/status
  270.   verbs:
  271.   - get
  272.   - list
  273.   - watch
  274. - apiGroups:
  275.   - networking.k8s.io
  276.   resources:
  277.   - ingresses
  278.   - ingresses/status
  279.   - networkpolicies
  280.   verbs:
  281.   - get
  282.   - list
  283.   - watch
  284. EOF
  285. }
  287. # 生成密钥和证书请求
  288. function create_rsa {
  289. echo "Generating key and CSR for user: $KUBEUSERNAME..."
  290. openssl genrsa -out $KUBEUSERNAME.key 2048 || error_exit "Failed to generate private key."
  291. openssl req -new -key $KUBEUSERNAME.key -out $KUBEUSERNAME.csr -subj "/CN=$KUBEUSERNAME/O=tpaas:${KUBEUSERNAME}:rw" || error_exit "Failed to generate CSR."
  292. }
  293. function create_csr {
  294. # 创建 CertificateSigningRequest
  295. echo "Creating CertificateSigningRequest for user: $KUBEUSERNAME..."
  296. cat <<EOF | kubectl apply -f -
  297. apiVersion: certificates.k8s.io/v1
  298. kind: CertificateSigningRequest
  299. metadata:
  300.   name: $KUBEUSERNAME
  301. spec:
  302.   groups:
  303.   - system:authenticated
  304.   request: $(cat ./$KUBEUSERNAME.csr | base64 | tr -d "\n")
  305.   signerName: kubernetes.io/kube-apiserver-client
  306.   expirationSeconds: $EXPIRATIONSECONDS
  307.   usages:
  308.   - client auth
  309. EOF
  310. }
  312. function approve_csr_command {
  313. # 批准证书请求
  314. echo "Approving CertificateSigningRequest for user: $KUBEUSERNAME..."
  315. kubectl certificate approve $KUBEUSERNAME || error_exit "Failed to approve certificate request."
  317. # 获取证书并解码
  318. echo "Retrieving and decoding the certificate for user: $KUBEUSERNAME..."
  319. kubectl get csr $KUBEUSERNAME -oyaml | grep "certificate:" | grep -v "f:" | awk '{printf $2}' | base64 -d > $KUBEUSERNAME.cert || error_exit "Failed to retrieve or decode the certificate."
  321. # 配置 kubectl
  322. echo "Configuring kubectl for user: $KUBEUSERNAME..."
  323. kubectl --kubeconfig=$KUBEUSERNAME.kubeconfig config set-cluster kubernetes --server=$KUBEAPISERVER --insecure-skip-tls-verify=true --namespace=$NAMESPACE || error_exit "Failed to set cluster."
  324. kubectl --kubeconfig=$KUBEUSERNAME.kubeconfig config set-credentials $KUBEUSERNAME --embed-certs=true --client-certificate=$KUBEUSERNAME.cert --client-key=$KUBEUSERNAME.key --namespace=$NAMESPACE || error_exit "Failed to set credentials."
  325. kubectl --kubeconfig=$KUBEUSERNAME.kubeconfig config set-context $KUBEUSERNAME@kubernetes --cluster=kubernetes --namespace=$NAMESPACE --user=$KUBEUSERNAME || error_exit "Failed to set context."
  327. # 创建 RoleBinding
  328. echo "Creating RoleBinding for user: $KUBEUSERNAME..."
  329. kubectl create rolebinding cluster-$KUBEUSERNAME --role=cluster-$KUBEUSERNAME --group="tpaas:${KUBEUSERNAME}:rw" -n $NAMESPACE || error_exit "Failed to create RoleBinding."
  330. }
  331. function backup_config_new {
  332. # 备份原有 kubeconfig 文件
  333. echo "Backing up current kubeconfig..."
  334. cp -rp ~/.kube/config /tmp/config_bak_$(date +%F-%H-%M-%S) || error_exit "Failed to backup kubeconfig."
  336. # 移动生成的 kubeconfig 文件
  337. echo "Moving generated kubeconfig for user: $KUBEUSERNAME..."
  338. mv /root/cert_user/$KUBEUSERNAME.kubeconfig /root/cert_user/config || error_exit "Failed to move kubeconfig."
  340. # 更新 KUBECONFIG 环境变量并保存配置
  341. echo "Setting KUBECONFIG environment variable and saving merged config..."
  342. export KUBECONFIG=/root/.kube/config:/root/cert_user/config
  343. kubectl config view --merge --flatten > /root/configs || error_exit "Failed to merge kubectl config."
  344. cp -rp /root/configs /root/.kube/config || error_exit "Failed to overwrite the original kubeconfig."
  346. echo "Kubeconfig for user $KUBEUSERNAME has been successfully configured and saved."
  347. }
  348. create_role
  349. create_rsa
  350. create_csr
  351. approve_csr_command
  352. backup_config_new
复制代码
实验脚本，参数从左到右依次是集群地址、用户名称、定名空间、过期时间
  1. [root@k8s-master cert_user]# sh ops.sh https://192.168.56.101:6443 wzry test 1200
  2. Creating Role for user: test_wzry in namespace: test...
  3. role.rbac.authorization.k8s.io/cluster-test_wzry created
  4. Generating key and CSR for user: test_wzry...
  5. Generating RSA private key, 2048 bit long modulus (2 primes)
  6. ..................................................+++++
  7. .....+++++
  8. e is 65537 (0x010001)
  9. Creating CertificateSigningRequest for user: test_wzry...
  10. certificatesigningrequest.certificates.k8s.io/test_wzry created
  11. Approving CertificateSigningRequest for user: test_wzry...
  12. certificatesigningrequest.certificates.k8s.io/test_wzry approved
  13. Retrieving and decoding the certificate for user: test_wzry...
  14. Configuring kubectl for user: test_wzry...
  15. Cluster "kubernetes" set.
  16. User "test_wzry" set.
  17. Context "test_wzry@kubernetes" created.
  18. Creating RoleBinding for user: test_wzry...
  19. rolebinding.rbac.authorization.k8s.io/cluster-test_wzry created
  20. Backing up current kubeconfig...
  21. Moving generated kubeconfig for user: test_wzry...
  22. Setting KUBECONFIG environment variable and saving merged config...
  23. Kubeconfig for user test_wzry has been successfully configured and saved.
复制代码
2.检查集群上下文及csr

   代码如下（示例）：
  1. [root@k8s-master cert_user]# kubectl config get-contexts
  2. CURRENT   NAME                          CLUSTER      AUTHINFO           NAMESPACE
  3. *         kubernetes-admin@kubernetes   kubernetes   kubernetes-admin   
  4.           test_wzry@kubernetes          kubernetes   test_wzry           test
复制代码
  1. [root@k8s-master cert_user]# kubectl get csr
  2. NAME        AGE   SIGNERNAME                            REQUESTOR          REQUESTEDDURATION   CONDITION
  3. test_wzry   18m   kubernetes.io/kube-apiserver-client   kubernetes-admin   20m                 Approved,Issued
复制代码
字段表明
  1. NAME: 证书请求的名称，这里是 test_wzry。
  3. AGE: 证书请求已经存在的时间，这里是 18 分钟。
  5. SIGNERNAME: 签名者的名称，这里是 kubernetes.io/kube-apiserver-client，表示这是一个针对 Kubernetes API 服务器客户端的证书请求。
  7. REQUESTOR: 发起请求的用户，这里是 kubernetes-admin。
  9. REQUESTEDDURATION: 签发的证书有效期时长，这里是 20 分钟。当AGE字段时间达到20分钟时,就会过期。当过期后,集群的垃圾收集控制器会在1小时内删除掉该csr
  11. CONDITION: 当前请求的状态。Approved,Issued 表示证书请求已经被批准，并且证书已经签发。
复制代码
3.切换集群上下文,检查权限

  1. [root@k8s-master cert_user]# kubectl config use-context test_wzry@kubernetes
  2. Switched to context "test_wzry@kubernetes".
复制代码
检察集群中所有pod，会报错，由于该用户只有test定名空间下的操作权限
  1. [root@k8s-master cert_user]# kubectl get pod -A
  2. Error from server (Forbidden): pods is forbidden: User "test_wzry" cannot list resource "pods" in API group "" at the cluster scope
复制代码
操作test定名空间下的资源
  1. [root@k8s-master cert_user]# kubectl get pod -n test
  2. NAME                           READY   STATUS              RESTARTS   AGE
  3. test5-nginx-7885895787-wbv4b   0/1     ContainerCreating   0          92m
  5. [root@k8s-master cert_user]# kubectl apply -f ../YamlTest/test_nginx.yml
  6. deployment.apps/test6-nginx created
  8. [root@k8s-master cert_user]# kubectl logs -f -n test test6-nginx-58f8f74bbd-npx6s
  9. Error from server (BadRequest): container "nginx" in pod "test6-nginx-58f8f74bbd-npx6s" is waiting to start: ContainerCreating
  11. [root@k8s-master cert_user]# kubectl delete deployments.apps -n test test6-nginx
  12. deployment.apps "test6-nginx" deleted
复制代码
至此,该脚本针对单个定名空间下的操作都是成功的
4.平凡用户操作

用生成的config文件操作定名空间下的资源
  1. [root@k8s-master cert_user]# kubectl --kubeconfig=./config get pod -n test
  2. NAME                           READY   STATUS              RESTARTS   AGE
  3. test5-nginx-7885895787-wbv4b   0/1     ContainerCreating   0          93m
复制代码
总结

本篇文章主要针对RBAC机制、csr以及用户权限分别做出了一个示例,对集群权限的严酷把控，才气以更安全的方式维护集群

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
回复

使用道具 举报

0 个回复

倒序浏览
返回列表

快速回复

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 or 立即注册

本版积分规则

笑看天下无敌手

论坛元老
这个人很懒什么都没写!

楼主热帖

标签云

运维 CIO 存储 服务器
微信订阅号
微信服务号
微信客服
小程序
H5
关于我们 商务合作 网站地图
©Copyright 2022-2024 杭州祥升科技有限公司 版权所有 浙ICP备20004199号
快速回复 返回顶部 返回列表