Kubernetes（K8s）作为现代云原生应用的核心基础设施，其安全性至关重要。认证（Authentication）和授权（Authorization）是确保K8s集群安全的关键策略。本文将深入探讨K8s的认证授权机制，帮助您掌握集群安全防护之道。
认证（Authentication）
认证是确保请求者身份的过程。K8s提供了多种认证方式，以下是一些主要的认证方法：
1. HTTP Token认证
HTTP Token认证通过一个Token来识别合法用户。Token是一个复杂的字符串，对应一个用户名，存储在API Server可访问的文件中。客户端在发起请求时，需要在HTTP Header中包含Token。
apiVersion: v1
kind: Config
clusters:
- cluster:
server: https://kubernetes.default.svc
name: kubernetes
users:
- name: user
user:
token: <token>
2. HTTP Base认证
HTTP Base认证通过用户名和密码进行认证。用户名和密码通过BASE64算法编码后，放在HTTP请求的Header Authorization域中发送给服务端。
Authorization: Basic <base64-encoded-username:password>
3. HTTPS证书认证
HTTPS证书认证是最严格的认证方式，基于CA根证书签名的客户端身份认证。客户端需要提供由CA签发的证书。
apiVersion: v1
kind: Config
clusters:
- cluster:
server: https://kubernetes.default.svc
name: kubernetes
users:
- name: user
user:
clientCertificateData: <client-certificate-data>
clientKeyData: <client-key-data>
授权（Authorization）
授权是确定认证过的用户是否有权限执行特定操作的过程。K8s提供了多种授权方式，以下是一些主要的授权方法：
1. 基于角色的访问控制（RBAC）
RBAC是K8s中最常用的授权方式。管理员可以定义角色和角色绑定，以控制用户和服务账户对集群资源的访问权限。
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
namespace: default
name: admin
rules:
- apiGroups: [""]
resources: ["pods", "services", "nodes"]
verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: admin-binding
namespace: default
subjects:
- kind: User
name: user
roleRef:
kind: Role
name: admin
apiGroup: rbac.authorization.k8s.io
2. 基于属性的访问控制（ABAC）
ABAC是一种基于属性的访问控制机制，允许用户定义自己的访问策略。
apiVersion: abac.authorization.k8s.io/v1
kind: Policy
metadata:
name: example
spec:
evaluation:
attributeConstraints:
- key: group
operator: In
values: ["group1", "group2"]
- key: user
operator: In
values: ["user1", "user2"]
effect: Allow
准入控制（Admission Control）
准入控制是K8s集群中的一种机制，用于在对象被持久化之前拦截请求。它可以帮助实现一些额外的安全措施，例如验证请求的对象或修改请求的对象。
apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
name: validate-pod
webhooks:
- name: validate-pod.example.com
rules:
- apiGroups: [""]
apiVersions: ["v1"]
operations: ["CREATE", "UPDATE"]
resources: ["pods"]
clientConfig:
service:
name: validate-pod-service
namespace: default
path: /validate-pod
admissionReviewVersions: ["v1"]
通过了解和掌握K8s的认证授权策略，您可以有效地保护您的集群安全。在实际应用中，建议根据具体需求选择合适的认证授权方式，并定期进行安全审计，以确保集群的安全性。