189 8069 5689

kubernetes中ServiceAccount与Secret的示例分析

这篇文章主要介绍kubernetes中Service Account与Secret的示例分析,文中介绍的非常详细,具有一定的参考价值,感兴趣的小伙伴们一定要看完!

成都创新互联公司长期为成百上千客户提供的网站建设服务,团队从业经验10年,关注不同地域、不同群体,并针对不同对象提供差异化的产品和服务;打造开放共赢平台,与合作伙伴共同营造健康的互联网生态环境。为沐川企业提供专业的成都网站制作、网站建设,沐川网站改版等技术服务。拥有10余年丰富建站经验和众多成功案例,为您定制开发。

一:Service Account与Secret数据结构
kubernetes中Service Account与Secret的示例分析

二:Service Account与Secret运行机制
kubernetes中Service Account与Secret的示例分析
1.kubernetes的master节点由三部分组成kube-apiserver,kube-scheduler和kube-controller-manager。其中controller manager会根据apiserver的配置信息(--admission-control和--service-account-private-key-file),生成ServiceAccount controller 和token controller.

2.ServiceAccount controller一直监听Service Account和Namespace事件。如果一个Namespace中没有default Service Account,那么Service Account Controller就会为该Namespace创建一个默认的(default)的Service Account。

3.Token Controller也监听Service Account的事件,如果发现新建的Service Account里没有对应的Service Account Secret,则会用API Server私钥(--service-account-private-key-file指定的文件)创建一个Token(JWT Token),并用该Token、CA证书(这个是API Server的CA公钥证书,来源于controller-manager配置文件中的root-ca-file),Namespace名称等三个信息产生一个新的Secret对象,然后放入刚才的Service Account中;如果监听到的事件是删除Service Account事件,则自动删除与该Service Account相关的所有Secret。此外,Token Controller对象同时监听Secret的创建、修改和删除事件,并根据事件的不同做不同的处理。

4.API Server收到Token以后,采用自己的私钥(实际是使用apiserver配置文件中的参数service-account-key-file指定的私钥,如果此参数没有设置,则默认采用tls-private-key-file指定的参数,即自己的私钥)对Token进行合法验证。

三:Service Account相关概念

1.    Service Account概念的引入是基于这样的使用场景:运行在pod里的进程需要调用Kubernetes API以及非Kubernetes API的其它服务。Service Account它并不是给kubernetes集群的用户使用的,而是给pod里面的进程使用的,它为pod提供必要的身份认证。

2. 如果kubernetes开启了ServiceAccount(apiserver配置文件)那么会在每个namespace下面都会创建一个默认的default的service account。

3.ServiceAccount详情
kubernetes中Service Account与Secret的示例分析

4.当创建pod的时候,如果没有指定一个service account,系统会自动在该pod所在的namespace下为其指派一个default service account.
kubernetes中Service Account与Secret的示例分析

a.    如果spec.serviceAccount域没有被设置,则Kubernetes默认为其制定名字为default的Serviceaccount;

b.    如果Pod的spec.serviceAccount域指定了default以外的ServiceAccount,而该ServiceAccount没有事先被创建,则该Pod操作失败;

c.    如果在Pod中没有指定“ImagePullSecrets”,那么该sec.serviceAccount域指定的ServiceAccount的“ImagePullSecrets”会被加入该Pod;

d.    给Pod添加一个新的Volume,在该Volume中包含ServiceAccountSecret中的Token,并将Volume挂载到Pod中所有容器的指定目录下(/var/run/secrets/kubernetes.io/serviceaccount);
kubernetes中Service Account与Secret的示例分析


四:Secret相关概念


1.Secret解决了密码、token、密钥等敏感数据的配置问题,而不需要把这些敏感数据暴露到镜像或者Pod Spec中。Secret可以以Volume或者环境变量的方式使用。

2.Secret有三种类型:
·Service Account:用来访问Kubernetes API,由Kubernetes自动创建,并且会自动挂载到Pod的/run/secrets/kubernetes.io/serviceaccount目录中;
·Opaque:base64编码格式的Secret,用来存储密码、密钥等;
·kubernetes.io/dockerconfigjson:用来存储私有docker registry的认证信息。

kubernetes中Service Account与Secret的示例分析

我们可以通过Secret保管其它系统的敏感信息,并以Mount的方式将Secret挂载到Container中,然后通过访问目录中文件的方式获取该敏感信息。当Pod被API Server创建时,API Server不会校验该Pod引用的Secret是否存在。一旦这个Pod被调用,则kubelet将试着获取Secret的值,如果Secret不存在或者暂时无法连接到API Server,则kubelet将按一定的时间间隔定期重试获取Secret. 为了使用更新后的secret,必须删除旧的Pod,并重新创建一个新的Pod.

以上是“kubernetes中Service Account与Secret的示例分析”这篇文章的所有内容,感谢各位的阅读!希望分享的内容对大家有帮助,更多相关知识,欢迎关注创新互联行业资讯频道!


分享标题:kubernetes中ServiceAccount与Secret的示例分析
标题路径:http://cdxtjz.com/article/jhjide.html

其他资讯