k8s apiServer

k8s apiServer是访问k8s的组件,是k8s所有组件交互的通道。其它组件不会两两交互,都通过apiServer组件交互。

apiServer也是一个网关,有认证、鉴权、准入、限流的作用。

api-server

认证

开启TLS时,所有的请求都需要首先认证。Kubernetes支持多种认证机制,并支持同时开启多个认证插件(只要有一个认证通过即可)。如果认证成功,则用户的username会传入授权模块做进一步授权验证;而对于认证失败的请求则返回HTTP 401。
认证的插件有:

  • 静态Token文件
  • 引导Token
  • ServiceAccount ServiceAccount是Kubernetes自动生成的,并会自动挂载到容器的/run/secrets/kubernetes.io/serviceaccount目录中。
  • Webhook 令牌身份认证

鉴权

授权主要是用于对集群资源的访问控制,通过检查请求包含的相关属性值,与相对应的访问策略相比较,API请求必须满足某些策略才能被处理。跟认证类似,Kubernetes也支持多种授权机制,并支持同时开启多个授权插件。
目前,Kubernetes支持以下授权插件:

  • ABAC
  • RBAC
  • Webhook
  • Node
RBAC

RBAC是一种用的比较多的授权模式,里面有三个基本概念

  • Role:角色,它其实是一组规则,定义了一组对 Kubernetes API 对象的操作权限。
  • Subject:被作用者,既可以是“人”,也可以是“机器”,也可以是你在 Kubernetes 里定义的“用户”。
  • RoleBinding:定义了“被作用者”和“角色”的绑定关系。

如下定义:

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: mynamespace
  name: example-role
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "watch", "list"]

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: example-rolebinding
  namespace: mynamespace
subjects:
- kind: User
  name: example-user
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: example-role
  apiGroup: rbac.authorization.k8s.io

集群中:


kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: example-rolebinding
  namespace: mynamespace
subjects:
- kind: User
  name: example-user
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: example-role
  apiGroup: rbac.authorization.k8s.io
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: example-clusterrolebinding
subjects:
- kind: User
  name: example-user
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: example-clusterrole
  apiGroup: rbac.authorization.k8s.io

准入

准入控制(Admission Control)在授权后对请求做进一步的验证或添加默认参数。不同于授权和认证只关心请求的用户和操作,准入控制还处理请求的内容,并且仅对创建、更新、删除或连接(如代理)等有效,而对读操作无效。
准入控制插件:

  • AlwaysAdmit: 接受所有请求。
  • AlwaysPullImages: 总是拉取最新镜像。在多租户场景下非常有用。
  • DenyEscalatingExec: 禁止特权容器的exec和attach操作。
  • ImagePolicyWebhook: 通过webhook决定image策略,需要同时配置--admission-control�config-file
  • ServiceAccount:自动创建默认ServiceAccount,并确保Pod引用的ServiceAccount已经存在
  • SecurityContextDeny:拒绝包含非法SecurityContext配置的容器
  • ResourceQuota:限制Pod的请求不会超过配额,需要在namespace中创建一个ResourceQuota对象
  • LimitRanger:为Pod设置默认资源请求和限制,需要在namespace中创建一个LimitRange对象
  • InitialResources:根据镜像的历史使用记录,为容器设置默认资源请求和限制
  • NamespaceLifecycle:确保处于termination状态的namespace不再接收新的对象创建请求,并拒绝请求不存在的namespace
  • DefaultStorageClass:为PVC设置默认StorageClass
  • DefaultTolerationSeconds:设置Pod的默认forgivenesstoleration为5分钟
  • PodSecurityPolicy:使用PodSecurity Policies时必须开启
  • NodeRestriction:限制kubelet仅可访问node、endpoint、pod、service以及secret、configmap、PV和PVC等相关的资源

限流

限流和一般的微服务网关是一样的,令牌桶、滑动窗口、漏斗算法等等。

小结

可以看到,ApiServer就是一个k8s的网关,是k8s访问的中心点。

你可能感兴趣的:(k8s apiServer)