Kubernetes 集群安全机制分析
发布时间：2021-12-10 15:33:06 所属栏目：云计算 来源：互联网
导读：Kubernetes api-server 安全访问机制 kube-apiserver 是 Kubernetes 整个集群的入口，是一个 REST API 服务，提供的 API 实现了 Kubernetes 各类资源对象(如 Pod
|
Kubernetes api-server 安全访问机制 kube-apiserver 是 Kubernetes 整个集群的入口，是一个 REST API 服务，提供的 API 实现了 Kubernetes 各类资源对象(如 Pod，RC，Service 等)的增、删、改、查，API Server 也是集群内各个功能模块之间交互和通信的枢纽，是整个集群的总线和数据中心。 Kubernetes 集群安全机制详解 由此可见 API Server 的重要性了，我们用 kubectl、各种语言提供的客户端库或者发送 REST 请求和集群交互，其实底层都是以 HTTP REST 请求的方式同 API Server 交互，那么访问的安全机制是如何保证的呢，总不能随便来一个请求都能接受并响应吧。API Server 为此提供了一套特有的、灵活的安全机制，每个请求到达 API Server 后都会经过：认证(Authentication)–>授权(Authorization)–>准入控制(Admission Control)三道安全关卡，通过这三道安全关卡的请求才给予响应： Kubernetes 集群安全机制详解 认证(Authentication) 认证阶段的工作是识别用户身份，支持的认证方式有很多，比如：HTTP Base，HTTP token，TLS，Service Account，OpenID Connect 等，API Server 启动时可以同时指定多种认证方式，会逐个使用这些方法对客户请求认证，只要通过任意一种认证方式，API Server 就会认为 Authentication 成功。高版本的 Kubernetes 默认认证方式是 TLS。在 TLS 认证方案中，每个用户都拥有自己的 X.509 客户端证书，API 服务器通过配置的证书颁发机构(CA)验证客户端证书。 授权(Authorization) 授权阶段判断请求是否有相应的权限，授权方式有多种：AlwaysDeny，AlwaysAllow，ABAC，RBAC，Node 等。API Server 启动时如果多种授权模式同时被启用，Kubernetes 将检查所有模块，如果其中一种通过授权，则请求授权通过。 如果所有的模块全部拒绝，则请求被拒绝(HTTP状态码403)。高版本 Kubernetes 默认开启的授权方式是 RBAC 和 Node。ASP站长网 准入控制(Admission Control) 准入控制判断操作是否符合集群要求，准入控制配备有一个“准入控制器”的列表，发送给 API Server 的每个请求都需要通过每个准入控制器的检查，检查不通过，则 API Server 拒绝调用请求，有点像 Web 编程的拦截器的意思。具体细节在这里不进行展开了，如想进一步了解见这里： Using Admission Controllers 。 Kubernetes 认证方式之客户端证书(TLS) 通过上一节介绍我们知道 Kubernetes 认证方式有多种，这里我们简单介绍下客户端证书(TLS)认证方式，也叫 HTTPS 双向认证。一般我们访问一个 https 网站，认证是单向的，只有客户端会验证服务端的身份，服务端不会管客户端身份如何。我们来大概看下 HTTPS 握手过程(单向认证)： 客户端发送 Client Hello 消息给服务端; 服务端回复 Server Hello 消息和自身证书给客户端; 客户端检查服务端证书的合法性，证书检查通过后根据双方发送的消息生成 Premaster Key，然后用服务端的证书里面的公钥加密 Premaster Key 并发送给服务端 ; 服务端通过自己的私钥解密得到 Premaster Key，然后通过双方协商的算法和交换的消息生成 Session Key(后续双方数据加密用的对称密钥，客户端也能通过同样的方法生成同样的 Key)，然后回复客户端一个消息表明握手结束，后续发送的消息会以协商的对称密钥加密。
（编辑：焦作站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
