docker&k8s云原生逃逸一次过大集合
发表于|更新于|docker&k8s云原生逃逸
|浏览量:
文章作者: han
版权声明: 本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 hanblog！
公告
Noobs Love Documenting Everything
目录
- 6.1.1. 一 认证（Authentication）
- 6.1.2. 二 鉴权（Authorization）
- 6.1.2.1. 1 API Server 目前支持以下几种授权策略：
- 6.1.2.2. 2 RBAC 相对其它访问控制方式，拥有以下优势：
- 6.1.2.3. 3 BAC 的 API 资源对象说明，4 个新的顶级资源对象：
- 6.1.2.3.1. ① 角色
- 6.1.2.3.2. ② 角色绑定
- 6.1.2.3.3. ③ 主体（subject）
- 6.1.2.3.4. ④ Role and ClusterRole
- 6.1.2.3.5. Role 示例：
- 6.1.2.3.6. ClusterRole 示例：
- 6.1.2.3.7. RoleBinding 示例1：
- 6.1.2.3.8. RoleBinding 示例2：
- 6.1.2.3.9. ClusterRoleBinding 示例：
- 6.1.2.3.10. Resources
- 6.1.2.3.11. 允许某主体读取 pods 同时访问这些 Pod 的 log 子资源的 Role 案例：
- 6.1.2.3.12. 关于上面的补充讲解Kubernetes RBAC 权限管理通俗指南
- 6.1.3. 三 准入控制（Admission Control）
- 6.1.3.1. 1 列举几个插件的功能：
- 6.1.3.2. 2 创建一个用户只能管理指定的命名空间
- 6.1.3.3. 3 用这个用户进行资源操作
- 6.1.3.4. 4 创建连接到 API Server 所需的证书和 kubeconfig 文件
- 6.1.3.5. 5 API Server 会把客户端证书的 CN 字段作为 User，把 names.O 字段作为 Group
- 6.1.3.6. 6 /etc/kubernetes/pki/ 目录中会生成 zhangsan-key.pem、zhangsan.pem、zhangsan.csr
- 6.1.3.7. 7查看证书
- 6.1.3.8. 8 RBAC授权
- 6.1.3.9. 9 切换用户，测试操作权限
- 6.1.3.10. 10 访问 svc 资源就会被拒绝
- 6.1.3.11. 11 fault 命名空间
- 6.1.3.12. 12 使用 root 用户查看
- 6.1.3.13. 13 也可以通过绑定 admin 角色，来获得管理员权限
