Kubernetes之kuberconfig--普通用户授权kubernetes集群
背景：
是这样的一个事情：服务运行于kubernetes集群（腾讯云tke1.20.6）。日志采集到了elasticsearch集群and腾讯的cls日志服务中。小伙伴看日志觉得还是不太方便，还是想看控制台输出的。给他们分配过一台服务器（加入到集群中，但是有污点标签的节点）。为了方便他们测试一下东西。现在想让他们通过此work节点可以在控制台查看日志。正常的就是把master节点的/root/.kube/目录下的config配置文件copy过来就可以了。但是这权限也太大了！重新复习一遍kubeconfig配置文件以及 role rolebinding的知识！
注： namespace为official。想分配的权限是list and log，嗯查看pod列表和查看日志 不能删除修改namespace下pod。并且不能查看其他namespace。
Kubernetes之kuberconfig
1. 创建用户凭证
前提： openssl的安装就忽略了…
1. 创建用户证书私钥
用户就用我自己名字了，私钥命名为zhangpeng.key
openssl genrsa -out zhangpeng.key 2048
2. 创建证书签名请求文件
使用我们刚刚创建的私钥创建一个证书签名请求文件：zhangpeng.csr，要注意需要确保在-subj参数中指定用户名和组(CN表示用户名，O表示组)
openssl req -new -key zhangpeng.key -out zhangpeng.csr -subj "/CN=zhangpeng/O=layabox"
可能你会出现下面的报错：
注：图非上面执行命令的截图，其他环境下操作出现的
解决方式如下：
cd /root
openssl rand -writerand .rnd
然后重新执行命名
openssl req -new -key zhangpeng.key -out zhangpeng.csr -subj "/CN=zhangpeng/O=layabox"
3. 生成最终证书文件
找到Kubernetes集群的CA，如果你是使用的是kubeadm安装的集群，CA相关证书位于/etc/kubernetes/pki/目录下面，如果你是二进制方式搭建的，你应该在最开始搭建集群的时候就已经指定好了CA的目录，我们会利用该目录下面的ca.crt和ca.key两个文件来批准上面的证书请求。当然了我使用的是腾讯云的tke集群。证书是位于/etc/kubernetes目录下的 server.crt和server.key。这里就用这两个文件生成证书文件，命令如下：
root@ap-shanghai-k8s-master-1:~/ap-shanghai# openssl x509 -req -in zhangpeng.csr -CA /etc/kubernetes/ca.crt -CAkey /etc/kubernetes/ca.key -CAcreateserial -out zhangpeng.crt -days 3650
Signature ok
subject=CN = zhangpeng, O = layabox
Getting CA Private Key
查看我们当前文件夹下面是否生成了一个证书文件
4. 在kubernetes集群中创建凭证和上下文（context）
创建新的用户凭证
root@ap-shanghai-k8s-master-1:~/ap-shanghai# kubectl config set-credentials zhangpeng --client-certificate=zhangpeng.crt --client-key=zhangpeng.key
User "zhangpeng" set.
为用户设置Context:
root@ap-shanghai-k8s-master-1:~/ap-shanghai# kubectl config set-context zhangpeng-context --cluster=kubernetes --namespace=official --user=zhangpeng
Context "zhangpeng-context" created.
到这里，zhangpeng用户的配置就已经创建成功了，现在我们使用当前的这个配置文件来操作kubectl命令的时候，应该会出现错误，因为我们还没有为该用户定义任何操作的权限：
$ kubectl get pods --context=zhangpeng-context -n official
Error from server (Forbidden): pods is forbidden: User "zhangpeng" cannot list resource "pods" in API group "" in the namespace "official"
2. 创建角色
cat role.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
namespace: official
name: official-log-role
rules:
- apiGroups: [""]
resources: ["pods", "pods/log"]
verbs: ["get", "list"]
kubectl apply -f role.yaml
注：可参照https://kubernetes.io/zh/docs/reference/access-authn-authz/rbac/ rbac鉴权
3. 创建角色权限绑定
cat rolebinding.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: ap-shanghai-rolebinding
namespace: official
subjects:
- kind: User
name: zhangpeng
apiGroup: ""
roleRef:
kind: Role
name: official-log-role
apiGroup: ""
kubectl apply -f rolebinding.yaml
4. 测试
root@ap-shanghai-k8s-master-1:~/ap-shanghai# kubectl get pods --context=zhangpeng-context
The connection to the server localhost:8080 was refused - did you specify the right host or port?
报错了为什么呢？喵一眼/root/.kube/config文件：
tke集群默认的cluster是local.我在1.2.4步骤中cluster设置的是kubernetes。这里直接在config文件中修改了cluster为local。也强调一下在执行1.2.4步骤的时候一定要先确认一下集群的cluster名称。不要直接copy拿来主义！
重新进行测试：
kubectl get pods --context=zhangpeng-context
由于这些pod都是线上跑的，我就新建一个nginx pod然后进行测试下是否可以delete and edit
kubectl run nginx --image=nginx -n official
$ kubectl delete pods nginx --context=zhangpeng-context
Error from server (Forbidden): pods "nginx" is forbidden: User "zhangpeng" cannot delete resource "pods" in API group "" in the namespace "official"
$ kubectl edit nginx --context=zhangpeng-context
error: pods "nginx" could not be patched: pods "nginx" is forbidden: User "zhangpeng" cannot patch resource "pods" in API group "" in the namespace "official"
You can run `kubectl replace -f /tmp/kubectl-edit-kp0az.yaml` to try this update again.
嗯 然后将config文件copy到用户的跳板机上面/root/.kube/config：
我是那么做的删除了原来的集群默认用户的user and contexts。讲contexts默认用户设置为创建的zhangpeng-context。当然了也记得把client-certificate client-key 文件copy到对应目录（当然了自己也可以自定义下，然后修改一下config文件）
切换一下命名空间namespace试一试：
基本实现了个人的目的。RBAC and安全上下文还要深入复习一下！