2. 访问控制

# 一、机制说明

1. Kubernetes作为一个分布式集群的管理工具，保证集群的安全性是其一个重要的任务。API Server是集群内部各个组件通信的中介，也是外部控制的入口。所以 Kubernetes的安全机制基本就是围绕保护 API Server 来设计的。Kubernetes使用了认证（Authentication）、鉴权（Authorization）、准入控制（AdmissionControl）三步来保证API Server的安全
2. API Server处理请求的过程中，认证插件负责鉴定用户身份，授权插件用于操作权限许可鉴别，而准入控制则用于在资源对象的创建、删除、更新或连接（proxy）操作时实现更精细的许可检查。

![未命名图片.png](/media/202406/11.2.15282783_image1.png)

# 二、k8s中的用户概念

> 客户端访问API服务的途径通常有三种：kubectl、客户端库或者直接使用REST接口进行请求，而可以执行此类请求的主体也被Kubernetes分为两类：现实中的“人”和Pod对象，它们的用户身份分别对应于常规用户（User Account）和服务账号（Service Account）。

1. User Account（用户账号）：一般是指由独立于Kubernetes之外的其他服务管理的用户账号，例如由管理员分发的密钥、Keystone一类的用户存储（账号库）、甚至是包含有用户名和密码列表的文件等。Kubernetes中不存在表示此类用户账号的对象，因此不能被直接添加进Kubernetes系统中。
2. Service Account（服务账号）：是指由Kubernetes API管理的账号，用于为Pod之中的服务进程在访问Kubernetes API时提供身份标识（identity）。Service Account通常要绑定于特定的名称空间，它们由API Server创建，或者通过API调用手动创建，附带着一组存储为Secret的用于访问API Server的凭据。

# 三、Service Account

1. Pod中的容器访问API Server。因为Pod的创建、销毁是动态的，所以要为它手动生成证书就不可行了。Kubenetes使用了Service Account解决Pod 访问API Server的认证问题
2. ServiceAccount 中用到包含三个部分：Token、ca.crt、namespace

![未命名图片.png](/media/202406/11.2.15282783_image2.png)

- token：保存了Service Account的认证token，容器中的进程使用它向API<br />Server发起连接请求，进而由认证插件完成用户认证并将其用户名传递给授权插件。
- ca.crt：根证书。用于Client端验证API Server发送的证书
- namespace：标识这个service-account-token的作用域名空间
3. 默认情况下，每个 namespace 都会有一个 ServiceAccount，如果 Pod 在创建时没有指定 ServiceAccount，就会使用 Pod 所属的 namespace 的ServiceAccount