一、賬號(hào)分類
在K8S體系中有兩種賬號(hào)類型：User accounts（用戶賬號(hào)），即針對(duì)human user的；Service accounts（服務(wù)賬號(hào)），即針對(duì)pod的。這兩種賬號(hào)都可以訪問 API server，都需要經(jīng)歷認(rèn)證、授權(quán)、準(zhǔn)入控制等步驟，相關(guān)邏輯圖如下所示：
二、authentication （認(rèn)證）
在K8S架構(gòu)中，可以使用多種認(rèn)證方式，比如：X509 Client Certs（X509 客戶端證書認(rèn)證）、Static Token File （靜態(tài)令牌文件認(rèn)證）、Bootstrap Tokens（啟動(dòng)引導(dǎo)令牌認(rèn)證）文章來源：http://www.zghlxwxcb.cn/news/detail-681032.html
1、X509 Client Certs（X509 客戶端證書認(rèn)證）
要開啟客戶端證書認(rèn)證功能，需要在kube-apiserver中設(shè)置–client-ca-file=SOMEFILE選項(xiàng)，所引用的文件一般是一個(gè)CA機(jī)構(gòu)的根證書文件，必須包含一個(gè)或者多個(gè)證書機(jī)構(gòu)。該認(rèn)證方式一般用于kube-controller-manager、kube-scheduler和kube-proxy組件向kube-apiserver認(rèn)證自己。 如果提供了客戶端證書并且證書被kube-apiserver驗(yàn)證通過，則客戶端證書中的subject 中的公共名稱（Common Name）文章來源地址http://www.zghlxwxcb.cn/news/detail-681032.html
到了這里，關(guān)于K8S訪問控制------認(rèn)證（authentication ）、授權(quán)（authorization ）、準(zhǔn)入控制（admission control ）體系的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
