k8s apiServer

k8s apiServer是访问k8s的组件，是k8s所有组件交互的通道。其它组件不会两两交互，都通过apiServer组件交互。

apiServer也是一个网关，有认证、鉴权、准入、限流的作用。

api-server

认证

开启TLS时，所有的请求都需要首先认证。Kubernetes支持多种认证机制，并支持同时开启多个认证插件（只要有一个认证通过即可）。如果认证成功，则用户的username会传入授权模块做进一步授权验证；而对于认证失败的请求则返回HTTP 401。
认证的插件有：

• 静态Token文件
• 引导Token
• ServiceAccount ServiceAccount是Kubernetes自动生成的，并会自动挂载到容器的/run/secrets/kubernetes.io/serviceaccount目录中。
• Webhook 令牌身份认证

鉴权

授权主要是用于对集群资源的访问控制，通过检查请求包含的相关属性值，与相对应的访问策略相比较，API请求必须满足某些策略才能被处理。跟认证类似，Kubernetes也支持多种授权机制，并支持同时开启多个授权插件。
目前，Kubernetes支持以下授权插件：

• ABAC
• RBAC
• Webhook
• Node

RBAC

RBAC是一种用的比较多的授权模式，里面有三个基本概念

• Role：角色，它其实是一组规则，定义了一组对 Kubernetes API 对象的操作权限。
• Subject：被作用者，既可以是“人”，也可以是“机器”，也可以是你在 Kubernetes 里定义的“用户”。
• RoleBinding：定义了“被作用者”和“角色”的绑定关系。

如下定义：

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: mynamespace
  name: example-role
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "watch", "list"]

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: example-rolebinding
  namespace: mynamespace
subjects:
- kind: User
  name: example-user
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: example-role
  apiGroup: rbac.authorization.k8s.io

集群中：

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: example-rolebinding
  namespace: mynamespace
subjects:
- kind: User
  name: example-user
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: example-role
  apiGroup: rbac.authorization.k8s.io

kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: example-clusterrolebinding
subjects:
- kind: User
  name: example-user
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: example-clusterrole
  apiGroup: rbac.authorization.k8s.io

准入

准入控制（Admission Control）在授权后对请求做进一步的验证或添加默认参数。不同于授权和认证只关心请求的用户和操作，准入控制还处理请求的内容，并且仅对创建、更新、删除或连接（如代理）等有效，而对读操作无效。
准入控制插件：

• AlwaysAdmit: 接受所有请求。
• AlwaysPullImages: 总是拉取最新镜像。在多租户场景下非常有用。
• DenyEscalatingExec: 禁止特权容器的exec和attach操作。
• ImagePolicyWebhook: 通过webhook决定image策略，需要同时配置--admission-control�config-file
• ServiceAccount：自动创建默认ServiceAccount，并确保Pod引用的ServiceAccount已经存在
• SecurityContextDeny：拒绝包含非法SecurityContext配置的容器
• ResourceQuota：限制Pod的请求不会超过配额，需要在namespace中创建一个ResourceQuota对象
• LimitRanger：为Pod设置默认资源请求和限制，需要在namespace中创建一个LimitRange对象
• InitialResources：根据镜像的历史使用记录，为容器设置默认资源请求和限制
• NamespaceLifecycle：确保处于termination状态的namespace不再接收新的对象创建请求，并拒绝请求不存在的namespace
• DefaultStorageClass：为PVC设置默认StorageClass
• DefaultTolerationSeconds：设置Pod的默认forgivenesstoleration为5分钟
• PodSecurityPolicy：使用PodSecurity Policies时必须开启
• NodeRestriction：限制kubelet仅可访问node、endpoint、pod、service以及secret、configmap、PV和PVC等相关的资源

限流

限流和一般的微服务网关是一样的，令牌桶、滑动窗口、漏斗算法等等。

小结

可以看到，ApiServer就是一个k8s的网关，是k8s访问的中心点。