描述

我们日常操作k8s大多使用的是kubectl。突然有一天,我有个想法:各个部门都在用一个k8s环境,如果不做隔离,岂不乱套了?我的想法就是:为一个部门创建一个namespace,然后把这个部门的机器上的kubectl绑定到这个namespace下。
在这里插入图片描述

依据

具体的实现就是利用k8s的RBAC, 将kubectl的用户或者组,结合roblebinding和admin集群角色绑定,从而实现kubectl只能操作一个namespace。
在这里插入图片描述

实现
  • 生成证书请求
  openssl req -new -key /etc/kubernetes/pki/ca.key -subj '/CN=monitor' -out monitor_user.csr

上面生成了一个CN是monitor的证书请求

  • 生成证书
 openssl x509 -req -in monitor_user.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out monitor_user.crt -days 5000
  • 生成一个kubectl使用的配置文件
kubectl config set-cluster monitor \
  --certificate-authority=/app/k8s/ca.crt \
  --embed-certs=true \
  --server=https://172.31.255.132:6443 \
  --kubeconfig=kubectl.kubeconfig

ca.crt是访问apiserver使用的证书,如果是kubeadm安装的,这个文件在/etc/kubernetes/pki目录下
kubectl.kubeconfig是生成的文件

  • 配置文件中新增一个用户
  kubectl config set-credentials monitor \
  --client-certificate=/app/k8s/monitor_user.crt \
  --client-key=/app/k8s/ca.key\
  --embed-certs=true \
  --kubeconfig=kubectl.kubeconfig

monitor_user.crt 这个是上面生成的证书
ca.key 解密证书的私钥

  • 创建一个上下文
 kubectl config set-context monitor \
  --cluster=monitor \
  --user=monitor \
  --kubeconfig=kubectl.kubeconfig
  • 创建rolebinding
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: monitor-role-binding
  namespace: monitoring
subjects:
- kind: User
  name: monitor
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: admin
  apiGroup: rbac.authorization.k8s.io

kubectl apply -f <文件名>

  • 拷贝kubectl.kubeconfig到,kubectl的机器上的 <某个用户的家目录>/.kube/config
  • 切换上下文(在kubectl的机器上)
  kubectl config use-context monitor --kubeconfig=/root/.kube/config 
测试

在这里插入图片描述
上图证明这个kubctl是不能访问default和kube-system命名空间的
在这里插入图片描述
上图证明这个kubectl能访问monitoring命名空间

赘述一下

如果想限制namespace的资源, 可以为namespace设置ResourceQuota。资源类型:

  • 计算资源
    • cpu
    • 内存
  • 存储资源
    • 存储资源总量
    • pvc的个数
  • 对象数
  • pods
  • resourcequotas
  • persistentvolumeclaims
  • services, services.loadbalancers, services.nodeports

先写的这里了,如果有问题或者异议,请进QQ群630300475,大家聊聊

Logo

K8S/Kubernetes社区为您提供最前沿的新闻资讯和知识内容

更多推荐