K8s Dashboard 用户权限配置与安全登录 - 智猿学院-IT界的百科全书

好嘞！各位观众老爷们，欢迎来到“K8s Dashboard 权限配置与安全登录”的专场秀！今天，咱们不搞枯燥的文档流，要用最风骚的姿势，最接地气的语言，把这块硬骨头啃下来！准备好，发车啦！🚀

开场白：Dashboard，你的K8s专属驾驶舱，但安全第一！

想象一下，你开着一辆宇宙飞船（K8s集群），Dashboard就是你的驾驶舱。在这里，你可以一览全局，掌控各种资源，部署应用，简直不要太爽！但是！驾驶舱的钥匙，谁都能拿？那还得了！敌对势力进来搞破坏，直接给你发射个寂寞！所以，给Dashboard配置权限，就像给驾驶舱装上指纹锁、密码锁、人脸识别，甚至虹膜识别（如果K8s支持的话 🤪），确保只有 authorized 的人才可以进入。

第一幕：认识你的敌人——Dashboard 默认状态的隐患

默认情况下，K8s Dashboard就像一个敞篷跑车，风光无限，但安全性基本为零。任何人，只要能访问你的集群，就能进入Dashboard，为所欲为。这可不是闹着玩的！

权限过大: 默认情况下，Dashboard可能拥有集群管理员权限，一旦泄露，后果不堪设想。
未授权访问: 如果Dashboard暴露在公网上，没有进行任何身份验证，就会被恶意用户扫描并入侵。
安全漏洞: Dashboard本身可能存在安全漏洞，黑客可以利用这些漏洞获取控制权。

所以，我们要像对待自己的女朋友一样，呵护好我们的Dashboard，给她穿上防弹衣，戴上安全帽，才能安心使用！

第二幕：权限控制的基石——RBAC (Role-Based Access Control)

RBAC，中文名“基于角色的访问控制”，是K8s权限管理的核心。它就像一个精密的权限分配系统，把用户、角色、权限三者紧密结合起来。

用户 (User): 你想让谁能进入Dashboard？这就是用户。可以是真实的人，也可以是Service Account。
角色 (Role): 用户能干什么？这就是角色。例如，只读用户、运维用户、管理员等等。
权限 (Permission): 角色拥有哪些权限？这就是权限。例如，查看Pod、创建Deployment、删除Service等等。

RBAC就像一个金字塔，底层是权限，中间是角色，顶层是用户。用户通过扮演不同的角色，获得不同的权限。

第三幕：实战演练——为Dashboard定制专属权限

好啦，理论知识讲完了，现在进入实战环节！我们要一步一步地，为Dashboard配置权限，让它变成一个安全的堡垒。

步骤一：创建 Service Account

Service Account，顾名思义，是服务账户，主要用于Pod内部的进程访问K8s API Server。我们可以为Dashboard创建一个专用的Service Account。

# dashboard-service-account.yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: dashboard-admin
  namespace: kubernetes-dashboard # Dashboard所在的namespace

执行命令：

kubectl apply -f dashboard-service-account.yaml

步骤二：创建 ClusterRoleBinding

ClusterRoleBinding，用于将角色绑定到用户或Service Account。我们可以创建一个ClusterRoleBinding，将cluster-admin角色绑定到我们刚刚创建的Service Account。

# dashboard-clusterrolebinding.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: dashboard-admin-binding
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin # 这里我们赋予了集群管理员权限，生产环境请根据实际需要调整
subjects:
- kind: ServiceAccount
  name: dashboard-admin
  namespace: kubernetes-dashboard

执行命令：

kubectl apply -f dashboard-clusterrolebinding.yaml

注意： 在生产环境中，直接赋予cluster-admin权限是非常危险的！应该根据实际需要，创建自定义的Role和ClusterRole，并赋予最小权限原则。

步骤三：获取 Token

创建完Service Account和ClusterRoleBinding后，我们需要获取Service Account的Token，用于登录Dashboard。

kubectl -n kubernetes-dashboard describe secret $(kubectl -n kubernetes-dashboard get secret | grep dashboard-admin-token | awk '{print $1}')

执行上述命令后，会输出Service Account的Token。复制这个Token，待会登录Dashboard的时候要用到。

第四幕：安全登录Dashboard——告别裸奔，拥抱加密

有了Token，我们就可以安全地登录Dashboard了。但是，别急！在登录之前，我们还需要做一些额外的安全措施，例如：

启用HTTPS: Dashboard默认使用HTTP协议，数据传输是明文的，非常不安全。我们需要启用HTTPS，对数据进行加密。
配置Ingress: 如果Dashboard暴露在公网上，我们需要配置Ingress，并启用TLS证书，保护数据传输的安全。
使用OAuth 2.0或OpenID Connect: 如果你的组织已经使用了OAuth 2.0或OpenID Connect进行身份验证，可以将Dashboard集成到这些系统中，实现单点登录。

登录Dashboard的姿势：

启动K8s Proxy：kubectl proxy (注意：仅用于本地开发测试，生产环境不推荐使用)
在浏览器中输入：http://localhost:8001/api/v1/namespaces/kubernetes-dashboard/services/https:kubernetes-dashboard:/proxy/
选择 "Token" 登录方式，输入刚刚获取的Token。

恭喜你！你已经成功地登录了Dashboard，并且是安全登录！ 🎉🎉🎉

第五幕：进阶篇——更高级的权限控制技巧

掌握了基本的RBAC配置后，我们可以进一步学习更高级的权限控制技巧，例如：

使用Role和ClusterRole: Role用于控制namespace级别的权限，ClusterRole用于控制集群级别的权限。
使用Aggregation: Aggregation可以将多个Role或ClusterRole合并成一个，方便管理。
使用Webhooks: Webhooks可以在用户访问资源之前，进行额外的权限检查。

案例分析：限制用户只能查看特定Namespace的Pod

假设我们要创建一个用户，只能查看dev namespace的Pod。

创建Role:

# pod-reader-role.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: dev
  name: pod-reader
rules:
- apiGroups: [""] # "" indicates the core API group
  resources: ["pods"]
  verbs: ["get", "watch", "list"]

创建Service Account:

# pod-reader-sa.yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: pod-reader-sa
  namespace: dev

创建RoleBinding:

# pod-reader-rolebinding.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: pod-reader-binding
  namespace: dev
subjects:
- kind: ServiceAccount
  name: pod-reader-sa
  namespace: dev
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: pod-reader

这样，我们就创建了一个只能查看dev namespace的Pod的用户。是不是很简单？

第六幕：安全最佳实践——防患于未然

除了配置权限外，我们还需要采取一些其他的安全措施，例如：

定期更新Dashboard版本: 及时修复安全漏洞。
监控Dashboard访问日志: 发现异常行为及时处理。
限制Dashboard的访问来源: 只允许特定的IP地址或域名访问Dashboard。
使用多因素身份验证 (MFA): 提高身份验证的安全性。
定期审查权限配置: 确保权限配置符合实际需要。

总结：安全无小事，权限配置是关键！

K8s Dashboard是一个强大的工具，但安全性至关重要。通过配置RBAC，启用HTTPS，配置Ingress，使用OAuth 2.0或OpenID Connect，以及采取其他的安全措施，我们可以将Dashboard变成一个安全的堡垒，放心地使用它来管理我们的K8s集群。

记住，安全不是一蹴而就的，而是一个持续的过程。我们需要不断学习，不断改进，才能确保我们的K8s集群的安全。

结束语：希望今天的表演能帮助你更好地理解K8s Dashboard的权限配置与安全登录。记住，安全第一，开车要稳！下次再见！ 👋

发表回复 取消回复

发表回复取消回复