kubernetes实践之十四：Service Account与Secret

一：Service Account与Secret数据结构


二：Service Account与Secret运行机制

1.kubernetes的master节点由三部分组成kube-apiserver,kube-scheduler和kube-controller-manager。其中controller manager会根据apiserver的配置信息(--admission-control和--service-account-private-key-file)，生成ServiceAccount controller 和token controller.

2.ServiceAccount controller一直监听Service Account和Namespace事件。如果一个Namespace中没有default Service Account，那么Service Account Controller就会为该Namespace创建一个默认的（default）的Service Account。

3.Token Controller也监听Service Account的事件，如果发现新建的Service Account里没有对应的Service Account Secret，则会用API Server私钥（--service-account-private-key-file指定的文件）创建一个Token（JWT Token），并用该Token、CA证书(这个是API Server的CA公钥证书，来源于controller-manager配置文件中的root-ca-file),Namespace名称等三个信息产生一个新的Secret对象，然后放入刚才的Service Account中；如果监听到的事件是删除Service Account事件，则自动删除与该Service Account相关的所有Secret。此外，Token Controller对象同时监听Secret的创建、修改和删除事件，并根据事件的不同做不同的处理。

4.API Server收到Token以后，采用自己的私钥（实际是使用apiserver配置文件中的参数service-account-key-file指定的私钥，如果此参数没有设置，则默认采用tls-private-key-file指定的参数，即自己的私钥）对Token进行合法验证。

三：Service Account相关概念

1.    Service Account概念的引入是基于这样的使用场景：运行在pod里的进程需要调用Kubernetes API以及非Kubernetes API的其它服务。Service Account它并不是给kubernetes集群的用户使用的，而是给pod里面的进程使用的，它为pod提供必要的身份认证。

2. 如果kubernetes开启了ServiceAccount(apiserver配置文件)那么会在每个namespace下面都会创建一个默认的default的service account。

3.ServiceAccount详情

4.当创建pod的时候，如果没有指定一个service account,系统会自动在该pod所在的namespace下为其指派一个default service account.

a.    如果spec.serviceAccount域没有被设置，则Kubernetes默认为其制定名字为default的Serviceaccount；

b.    如果Pod的spec.serviceAccount域指定了default以外的ServiceAccount，而该ServiceAccount没有事先被创建，则该Pod操作失败；

c.    如果在Pod中没有指定“ImagePullSecrets”，那么该sec.serviceAccount域指定的ServiceAccount的“ImagePullSecrets”会被加入该Pod；

d.    给Pod添加一个新的Volume，在该Volume中包含ServiceAccountSecret中的Token，并将Volume挂载到Pod中所有容器的指定目录下（/var/run/secrets/kubernetes.io/serviceaccount）;

四：Secret相关概念


1. Secret解决了密码、token、密钥等敏感数据的配置问题，而不需要把这些敏感数据暴露到镜像或者Pod Spec中。Secret可以以Volume或者环境变量的方式使用。

2. Secret有三种类型：
·Service Account：用来访问Kubernetes API，由Kubernetes自动创建，并且会自动挂载到Pod的/run/secrets/kubernetes.io/serviceaccount目录中；
·Opaque：base64编码格式的Secret，用来存储密码、密钥等；
·kubernetes.io/dockerconfigjson：用来存储私有docker registry的认证信息。



我们可以通过Secret保管其它系统的敏感信息，并以Mount的方式将Secret挂载到Container中，然后通过访问目录中文件的方式获取该敏感信息。当Pod被API Server创建时，API Server不会校验该Pod引用的Secret是否存在。一旦这个Pod被调用，则kubelet将试着获取Secret的值，如果Secret不存在或者暂时无法连接到API Server,则kubelet将按一定的时间间隔定期重试获取Secret. 为了使用更新后的secret,必须删除旧的Pod,并重新创建一个新的Pod.

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/28624388/viewspace-2152817/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/28624388/viewspace-2152817/