Создать пользователя в Kubernetes для kubectl

В docs и статьях kubernetes используется сертификат для создания или аутентификации пользователей для kubectl. клиент. Однако есть один простой способ сделать это с помощью ServiceAccount. Можно использовать ServiceAccount как группу для обеспечения аутентификации управления RBAC, это очень просто и наглядно. Вот шаги. Все шаги, которые я выполняю, находятся в пространстве имен default. Я собираюсь создать пользователя модуля, доступного только для чтения, который может получать, просматривать и просматривать любой модуль во всех пространствах имен.

• Создайте ServiceAccount, скажите "только для чтения".

  kubectl create serviceaccount readonlyuser

• Создайте роль кластера, скажите "только для чтения".

  kubectl create clusterrole readonlyuser --verb=get --verb=list --verb=watch --resource=pods

• Создайте привязку роли кластера, скажем "только для чтения".

  kubectl create clusterrolebinding readonlyuser --serviceaccount=default:readonlyuser --clusterrole=readonlyuser

• Теперь получите токен из секрета ServiceAccount, который мы создали ранее. мы будем использовать этот токен для аутентификации пользователя.

  TOKEN=$(kubectl describe secrets "$(kubectl describe serviceaccount readonlyuser | grep -i Tokens | awk '{print $2}')" | grep token: | awk '{print $2}')

• Теперь установите учетные данные для пользователя в файле конфигурации kube. Я использую "викаш" в качестве имени пользователя.

  kubectl config set-credentials vikash --token=$TOKEN

• Теперь создайте контекст, скажем, podreader. Я использую здесь свое имя кластера "кубернеты".

  kubectl config set-context podreader --cluster=kubernetes --user=vikash

• Наконец, используйте контекст.

  kubectl config use-context podreader

Вот и все. Теперь можно выполнить kubectl get pods --all-namespaces. Также можно проверить доступ, выполнив как указано:

~ : $ kubectl auth can-i get pods --all-namespaces
yes
~ : $ kubectl auth can-i create pods
no
~ : $ kubectl auth can-i delete pods
no

В этом руководстве вы можете узнать, как настроить пользователя для вашего кластера: https://docs.bitnami.com/kubernetes/how-to/configure-rbac-in-your-kubernetes-cluster/#use-case-1-create-user-with-limited-namespace-access

Короче:

• Создать сертификаты для пользователя
• Создать запрос на подпись сертификата
• Подпишите сертификат в центре сертификации кластера
• Создайте конфигурацию для вашего пользователя
• Добавить правила RBAC для этого пользователя или его группы

Что касается ca.crt, вам нужно найти его на своем главном хосте.

Отредактировано: в случае GKE проверьте здесь https://cloud.google.com/container-engine/docs/iam-integration

Небольшое позднее обновление того, что сработало для меня.
Мне также нужно было отфильтровать по пространствам имен, чтобы предоставить разработчикам доступ только для чтения к основным ресурсам приложения, но не к узлам, секретам, контроллерам входа, входящим или другим пространствам имен.

Измените и примените следующий YAML:

apiVersion: v1
kind: ServiceAccount
metadata:
  name: sa-reader
  namespace: default

---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: reader-cr
rules:
- verbs: ["get", "list", "watch"]
  resources: 
  - namespaces
  - services
  - endpoints
  - pods
  - deployments
  - configmaps
  - jobs
  - cronjobs
  - daemonsets
  - statefulsets
  - replicasets
  - persistentvolumes
  apiGroups: ["","apps","batch"]
- verbs: ["create", "delete"]
  resources: ["pods"]
  apiGroups: [""]

---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-tuxerrante-pods-rb
  namespace: tuxerrante
subjects:
- kind: ServiceAccount
  name: sa-reader
  namespace: default
roleRef:
  kind: ClusterRole
  name: reader-cr
  apiGroup: rbac.authorization.k8s.io

---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-tuxerrante-round-pods-rb
  namespace: tuxerrante-round
subjects:
- kind: ServiceAccount
  name: sa-reader
  namespace: default
roleRef:
  kind: ClusterRole
  name: reader-cr
  apiGroup: rbac.authorization.k8s.io

# THIS WILL APPEND CONFIGURATIONS TO YOUR CURRENT KUBECONFIG
$ TOKEN=$(kubectl describe -n default secrets "$(kubectl describe -n default serviceaccount sa-reader | grep -i Tokens | awk '{print $2}')" | grep token: | awk '{print $2}')
$ kubectl config set-credentials reader-user --token=$TOKEN
$ kubectl config set-context cluster-reader --cluster=cluster-svil --user=reader-user

# I PREFER TO COPY THE PREVIOUS NEW CONFIG IN A NEW FILE AND THEN USE IT
# 
$ export KUBECONFIG=~/.kube/tuxerrante-reader.kubeconfig
$ kubectl config use-context cluster-reader
$ kubectl auth can-i get pods --all-namespaces
$ kubectl auth can-i create pods
$ kubectl auth can-i delete pods
$ kubectl -n tuxerrante get pods