使用服务号令牌访问k8s集群

Question

是否可以使用serviceaccount令牌获得k8s群集访问权限？

我的脚本没有访问kubeconfig文件的权限，但是，它可以访问/var/run/secrets/kubernetes处的服务帐户令牌。io/serviceaccount/token。

以下是我尝试过的步骤，但不起作用。

1. kubectl配置设置凭据sa用户--令牌=$（cat/var/run/secrets/kubernetes.io/servicecomport/token）

但是当脚本运行“kubectl get rolebindings”时，我得到了以下错误：来自服务器的错误（禁止）：rolebindings。rbac。批准k8s。io被禁止：用户“系统：服务帐户：测试：默认”无法在命名空间“test”中的API组“rbac.authorization.k8s.io”中列出资源“rolebindings”

Answer 1

是的，这是可能的。例如，如果您通过令牌登录K8S仪表板，它确实使用相同的方式。

遵循以下步骤；

创建服务帐户

$ kubectl -n <your-namespace-optional> create serviceaccount <service-account-name>

角色绑定将角色中定义的权限授予一个用户或一组用户。您可以使用预定义的角色，也可以创建自己的角色。请单击此链接了解更多信息。https://kubernetes.io/docs/reference/access-authn-authz/rbac/#rolebinding-example

$ kubectl create clusterrolebinding <binding-name> --clusterrole=cluster-admin --serviceaccount=<namespace>:<service-account-name>

获取令牌名称

$ TOKENNAME=`kubectl -n <namespace> get serviceaccount/<service-account-name> -o jsonpath='{.secrets[0].name}'`

最后，获取令牌并设置凭据

$ kubectl -n <namespace> get secret $TOKENNAME -o jsonpath='{.data.token}'| base64 --decode
$ kubectl config set-credentials <service-account-name> --token=<output from previous command>
$ kubectl config set-context --current --user=<service-account-name>

如果你仔细遵循这些步骤，你的问题就会解决。

Answer 2

是否可以使用serviceaccount令牌获得k8s群集访问权限？

当然，这就是ServiceAccount令牌的意义所在。你似乎要问的问题是“为什么我的默认服务帐户没有我想要的所有特权”，这是另一个问题。阅读关于这个主题的精美手册会让人受益匪浅

如果希望测试NS中的默认SA有权读取其NS中的内容，则必须创建一个作用域为该NS的角色，然后明确声明关系。SA不会自动拥有这些特权

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: test
  name: test-default
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: whatever-role-you-want
subjects:
- kind: ServiceAccount
  name: default
  namespace: test

但是当脚本运行“kubectl get pods”时，我得到了以下错误：来自服务器的错误（禁止）：角色绑定。rbac。批准k8s。io被禁止：用户“系统：服务帐户：测试：默认”无法在命名空间“test”中的API组“rbac.authorization.k8s.io”中列出资源“rolebindings”

大概你的意思是你可以kubectl get rolebindings，因为我不希望运行kubectl get pods会发出那个错误