我们带上token再次访问apiserver，看看效果

证书认证

使用openssl生成客户端私钥和csr文件；其中/CN字段就是你的用户名；csr文件需要公钥，但命令行却指定的是私钥，是因为oenssl会自动用私钥生产公钥

openssl genrsa -out myuser.key 2048  
openssl req -new -key myuser.key -out myuser.csr -subj "/CN=myuser"

创建 CertificateSigningRequest资源，回忆下上文提到的证书申请过程，我们需要提供什么？

cat <<EOF | kubectl apply -f - 
apiVersion: certificates.k8s.io/v1 
kind: CertificateSigningRequest 
metadata: 
  name: myuser 
spec: 
  request: $(cat myuser.csr | base64 | tr -d "\n") 
  signerName: kubernetes.io/kube-apiserver-client 
  expirationSeconds: 86400  # one day 
  usages: 
  - client auth 
EOF

手动批准证书请求，证书会被保存到csr资源的status.certificate字段，将证书base64解码并写入文件

kubectl certificate approve myuser 
kubectl get csr myuser -o jsonpath='{.status.certificate}'| base64 -d > myuser.crt

可以用openssl查看证书内容，查看签名字段需要借助其他工具，比如：asn1editor

使用客户端私钥和证书再次访问apiserver

和token访问结果一致，认证通过但未赋权

鉴权机制

上文我们访问apiserver得到了403的返回码，说明我们权限不够，无法获取namespaces资源；为了集群便于管理，我们必须为不同用户设置不同权限。

在K8S集群中完成鉴权机制的是RBAC，RBAC授权规则是通过四种资源来进行配置：

• Role：角色，其实是定义一组对Kubernetes资源（命名空间级别）的访问规则
• ClusterRole：集群角色，其实是定义一组对Kubernetes资源（集群级别，包含全部命名空间）的访问规则
• RoleBinding：角色绑定，定义了用户和角色的关系
• ClusterRoleBinding：集群角色绑定，定义了用户和集群角色的关系

有了角色和角色绑定，还缺一个对象，你希望将角色绑定到那个对象上？

在k8s集群中这个对象称为subject主体，主体可以是用户、组或者serviceaccount；

k8s集群中不存在用户资源，你也无法通过命令查到；Kubernetes 使用证书中’subject’的通用名称(Common Name)字段 (例如："/CN=bob")来确定用户名

接下来我们对上文创建的serviaccount和用户myuser赋权

创建集群角色和集群角色绑定

#创建一个集群角色，仅对namespaces资源有get、list和watch权限
kubectl create clusterrole myclusterrole --resource=namespaces --verb=get,list,watch
#将serviceaccount和myuser用户与该集群角色绑定，test和myuser便有了该集群角色的权限
kubectl create clusterrolebinding testuser --clusterrole=myclusterrole --user=myuser  
kubectl create clusterrolebinding testsa --clusterrole=myclusterrole --serviceaccount=default:test

再次使用token或者证书访问apiserver

使用证书访问

使用token访问

点击关注，第一时间了解华为云新鲜技术~