认证鉴权准入控制：Kubernetes 集群安全认证机制说明及https证书认证

需积分: 0 80 浏览量更新于2023-11-23 收藏 4.71MB PDF 举报

作为一个文件，"17 18 19 20、认证鉴权准入控制 HEML-V2.pdf"是关于Kubernetes集群安全中认证的内容。该文件总结了认证机制的说明和Authentication认证的细节。其中提到了三种认证介绍，包括HTTPS证书认证和需要认证的节点。文件的主要目的是为了保证Kubernetes集群的安全性。

4）kubeconfig

kuberconfig 包含连接 apiserver 所需要的所有的认证信息。用户、用户的证书和私钥、集群

的 CA 证书、集群的地址与端口。

kubeconfig 文件包含集群参数（CA 证书、API Server

地址），客户端参数（上面生成的证书和

私钥），集群 context 信息（集群名称、用户名）。Kubenetes 组件通过启动时指定不同的

kubeconfig 文件可以切换到不同的集群。

5）ServiceAccount

专门给 Pod 去做认证的。ServiceAccount（服务账户）并不是单独一个文件，而是一个封装。

Pod 中的容器访问 API Server。因为 Pod 的创建、销毁是动态的，所以要为它手动生成证书就

不可行了。Kubenetes 使用了 Service Account 解决 Pod 访问 API Server 的认证问题。

6）Secret 与 SA 的关系

Kubernetes 设计了一种资源对象叫做 Secret，分为两类，一种是用于 ServiceAccount（服务账

户）的 service-account-token，另一种是用于保存用户自定义保密信息的 Opaque [əʊˈpeɪk]

。

ServiceAccount 中用到包含三个部分：token、ca.crt、namespace

Ⅰ token 是使用 apiserver 私钥签名的 JWT。用于访问 apiserver 时，Server 端认证。作用是

给我们的 apiserver 认证 Pod 是否合法

Ⅱ ca.crt，根证书。防止访问一个伪造的 apiserver ，拿着 ca.crt 与 apiserver 的公钥进行对

比，是 Pod 验证我们集群的 apiserver 是不是合法的。用于 Client 端验证 apiserver 所发送的

证书

Ⅲ namespace，通过名字空间来锁定 Pod 作用域。标识这个 service-account-token 的作用域

名空间

注：Json web token (JWT) , 是为了在网络应用环境间传递声明而执行的一种基于 JSON

的开

放标准（[(RFC 7519] )。该 token 被设计为紧凑且安全的，特别适用于分布式站点的单点登录

（SSO）场景。JWT 的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信

息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，

该 token 也可直接被用于认证，也可被加密。

注：单点登录即 A 需要访问 B，B 不需要访问 A。例：Pod 需要访问 apiserver，apiserver 则

不需要访问 Pod。

补充：CA 需要单独在集群中被创建出来给 Pod 挂载以后才能用的。每个集群都有自己的

。

剩余45页未读，继续阅读

Madeline

粉丝: 0
资源: 13

认证 鉴权 准入控制：Kubernetes 集群安全认证机制说明及https证书认证

准入控制解决方案.pdf

java面经-百度准入职老哥整理.pdf

802.x交换机准入配置

上网行为管理设备的登录管理是如何设计的（如何保障有线网络、无线网络及域用户的联合准入控制）

准入控制 详细描述一下

画出旁路准入认证时序图

网络准入认证是什么，原理是什么

旁路认证时序图，用终端，接入交换机，核心叫换机，准入服务器来画出

准入服务器是如何根据数据包分析出那个终端没有经过准入认证

网络准入控制系统的部署方式

最新资源

认证鉴权准入控制：Kubernetes 集群安全认证机制说明及https证书认证

准入控制详细描述一下