kubernetes的Service Account

kubernetes的Service Account

1. Service account作用
   Service account是为了方便Pod里面的进程调用Kubernetes API或其他外部服务。
2. Service account使用场景
   运行在pod里的进程需要调用Kubernetes API以及非Kubernetes API的其它服务。Service Account它并不是给kubernetes集群的用户使用的，而是给pod里面的进程使用的，它为pod提供必要的身份认证。
3. 与User account区别
   （1）User account是为人设计的，而service account则是为了Pod中的进程；
   （2）User account是跨namespace的，而service account则是仅局限它所在的namespace；
4. 实战

       

#定义namespace：test
cat >> test.yaml << EOF
apiVersion: v1
kind: Namespace
metadata:
    name: test
     labels:
         name: test

#创建namespace：test
kubectl create -f ./test.yaml  

#查看命名空间test的sa
kubectl get sa -n test
NAME      SECRETS   AGE
default   1         3h
##说明：
（1）如果kubernetes开启了ServiceAccount（–admission_control=…,
ServiceAccount,… ）那么会在每个namespace下面都会创建一个默认的default
的sa。如上命令查看的default ！
（2）ServiceAccount默认是开启的。

#查看命名空间test生成的default
kubectl get sa default -o yaml -n test
apiVersion: v1
kind: ServiceAccount
metadata:
    creationTimestamp: 2018-05-31T06:21:10Z
    name: default
    namespace: test
    resourceVersion: "45560"
    selfLink: /api/v1/namespaces/test/serviceaccounts/default
    uid: cf57c735-649a-11e8-adc5-000c290a7d06
secrets:
- name: default-token-ccf9m
##说明：
（1）当用户再该namespace下创建pod的时候都会默认使用这个sa；
（2）每个Pod在创建后都会自动设置spec.serviceAccount为default（除非指定
了其他ServiceAccout）；
（3）每个container启动后都会挂载对应的token和ca.crt到/var/run/secrets/
kubernetes.io/serviceaccount/。

#创建deploy
cat >> nginx_deploy.yaml << EOF
apiVersion: extensions/v1beta1
kind: Deployment
metadata:
    name: nginx-test
    namespace: test
spec:
    replicas: 2
    template:
        metadata:
            labels:
                app: nginx
        spec:
            containers:
            - name: nginx
                image: nginx:1.7.9
                ports:
                - containerPort: 80

#查看生成的Pods
kubectl get po -n test
NAME                          READY     STATUS    RESTARTS   AGE
nginx-test-75675f5897-7l5bc   1/1       Running   0          1h
nginx-test-75675f5897-b7pcn   1/1       Running   0          1h

#查看其中一个Pod的详细信息，如：nginx-test-75675f5897-7l5bc
kubectl describe po nginx-test-75675f5897-7l5bc -n test
##其中default-token-ccf9m，请留意！
Environment:    <none>
Mounts:
  /var/run/secrets/kubernetes.io/serviceaccount from default-token-ccf9m (ro)
Conditions:
Type           Status
Initialized    True
Ready          True
PodScheduled   True
Volumes:
default-token-ccf9m:
Type:        Secret (a volume populated by a Secret)
SecretName:  default-token-ccf9m
##说明：
（1）每个Pod在创建后都会自动设置spec.serviceAccount为default（除非指定
了其他ServiceAccout）；
（2）每个container启动后都会挂载对应的token和ca.crt到/var/run/secrets/
kubernetes.io/serviceaccount/。

#进入其中一个Pod的容器内，如：nginx-test-75675f5897-7l5bc
kubectl exec -it nginx-test-75675f5897-7l5bc  /bin/bash --namespace=test
##在容器内执行：
ls -l  /var/run/secrets/kubernetes.io/serviceaccount/
lrwxrwxrwx 1 root root 13 May 31 08:15 ca.crt -> ..data/ca.crt
lrwxrwxrwx 1 root root 16 May 31 08:15 namespace -> ..data/namespace
lrwxrwxrwx 1 root root 12 May 31 08:15 token -> ..data/token
##说明：
可以看到已将ca.crt 、namespace和token放到容器内了，那么这个容器就
可以通过https的请求访问apiserver了。

 

5.手动创建Service Account

#编辑heapster_test.yaml文件
cat >> heapster_test.yaml <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
    name: heapster
    namespace: test

#创建Service Account：heapster
kubectl create -f heapster_test.yaml
serviceaccount "heapster" created

#查看Service Account：heapster
kubectl get sa -o yaml -n test
##主要内容如下：
    secrets:
    - name: heapster-token-7xrlg

6.Service Account鉴权

Service Account为服务提供了一种方便的认知机制，但它不关心授权的问题。可以配合RBAC来为Service Account鉴权：

（1）配置--authorization-mode=RBAC和--runtime-config=rbac.authorization.k
8s.io/v1alpha1
（2）配置--authorization-rbac-super-user=admin
（3）定义Role、ClusterRole、RoleBinding或ClusterRoleBinding

#实战
我们在Kubernetes Dashboard1.8.3部署中，碰到首次登入出现访问权限报错的问题，原因就是ServiceAccount的创建问题。

cat >> kube-dashboard-access.yaml << EOF
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
      name: kubernetes-dashboard
      labels:
          k8s-app: kubernetes-dashboard
roleRef:
      apiGroup: rbac.authorization.k8s.io
      kind: ClusterRole
      name: cluster-admin
subjects:
    - kind: ServiceAccount
      name: kubernetes-dashboard
      namespace: kube-system

7.参考文章

  https://www.ctolib.com/docs/sfile/kubernetes-handbook/architecture/serviceaccount.html
  https://blog.csdn.net/u010278923/article/details/72857928