Как создать учетную запись службы и привязку роли кластера для Kubernetes Dashboard

Введение

Учетные записи службы (Service Accounts) Kubernetes являются важной частью управления идентификацией и контроля доступа приложений, работающих в кластере Kubernetes. В этом руководстве вы узнаете о учетных записях службы Kubernetes, настроите Kubernetes Dashboard с использованием учетной записи службы и предоставите необходимые разрешения для дашборда.

Skills Graph

%%%%{init: {'theme':'neutral'}}%%%% flowchart RL kubernetes(("Kubernetes")) -.-> kubernetes/BasicsGroup(["Basics"]) kubernetes(("Kubernetes")) -.-> kubernetes/BasicCommandsGroup(["Basic Commands"]) kubernetes(("Kubernetes")) -.-> kubernetes/ConfigurationandVersioningGroup(["Configuration and Versioning"]) kubernetes/BasicsGroup -.-> kubernetes/dashboard("Dashboard") kubernetes/BasicCommandsGroup -.-> kubernetes/get("Get") kubernetes/BasicCommandsGroup -.-> kubernetes/create("Create") kubernetes/ConfigurationandVersioningGroup -.-> kubernetes/config("Config") subgraph Lab Skills kubernetes/dashboard -.-> lab-415171{{"Как создать учетную запись службы и привязку роли кластера для Kubernetes Dashboard"}} kubernetes/get -.-> lab-415171{{"Как создать учетную запись службы и привязку роли кластера для Kubernetes Dashboard"}} kubernetes/create -.-> lab-415171{{"Как создать учетную запись службы и привязку роли кластера для Kubernetes Dashboard"}} kubernetes/config -.-> lab-415171{{"Как создать учетную запись службы и привязку роли кластера для Kubernetes Dashboard"}} end

Понимание учетных записей службы (Service Accounts) Kubernetes

Учетные записи службы (Service Accounts) Kubernetes являются важной частью управления идентификацией и контроля доступа приложений, работающих в кластере Kubernetes. Они обеспечивают способ аутентификации и авторизации взаимодействия подов (pods) с сервером API Kubernetes, что позволяет безопасно обмениваться данными и получать доступ к ресурсам.

Что такое учетные записи службы (Service Accounts) Kubernetes?

Учетные записи службы (Service Accounts) Kubernetes связаны с подами (pods) и предоставляют идентификацию для процессов, выполняющихся в этих подах. Они используются для аутентификации и авторизации взаимодействия между подом и сервером API Kubernetes. В каждом пространстве имен (namespace) кластера Kubernetes есть учетная запись службы по умолчанию, а также можно создавать пользовательские учетные записи службы, чтобы удовлетворить конкретные требования приложения.

Почему использовать учетные записи службы (Service Accounts) Kubernetes?

Учетные записи службы (Service Accounts) Kubernetes служат нескольким важным целям:

Доступ к API: Учетные записи службы предоставляют подам необходимые разрешения для доступа к API Kubernetes, что позволяет им выполнять различные операции, такие как чтение, создание или изменение ресурсов.
Безопасное взаимодействие: Учетные записи службы используются для аутентификации подов, что обеспечивает, что только авторизованные поды могут взаимодействовать с сервером API Kubernetes.
Изоляция ресурсов: Используя разные учетные записи службы для разных приложений или компонентов, можно достичь изоляции ресурсов и детального контроля доступа в кластере Kubernetes.

Настройка учетных записей службы (Service Accounts) Kubernetes

Для настройки учетной записи службы (Service Account) Kubernetes можно выполнить следующие шаги:

Создание учетной записи службы: Новую учетную запись службы можно создать с помощью команды kubectl create serviceaccount. Например, чтобы создать учетную запись службы с именем "my-app-sa" в пространстве имен "default", нужно выполнить:

kubectl create serviceaccount my-app-sa -n default

Назначение учетной записи службы поду: При создании пода можно указать, какую учетную запись службы будет использовать под. Это делается в YAML-файле конфигурации пода в поле spec.serviceAccountName:

apiVersion: v1
kind: Pod
metadata:
  name: my-app
spec:
  serviceAccountName: my-app-sa
  containers:
    - name: my-app
      image: my-app:v1

Предоставление разрешений учетной записи службы: По умолчанию учетные записи службы имеют ограниченные разрешения. Чтобы предоставить необходимые разрешения учетной записи службы, можно создать Role или ClusterRole и связать его с учетной записью службы с помощью RoleBinding или ClusterRoleBinding.

Конкретные необходимые разрешения будут зависеть от действий, которые ваше приложение должно выполнять в кластере Kubernetes.

Настройка Kubernetes Dashboard с использованием учетной записи службы

Kubernetes Dashboard - это мощный веб-интерфейс (UI), который позволяет управлять кластером Kubernetes. Чтобы обеспечить безопасность дашборда и контролировать доступ к нему, можно настроить его на использование учетной записи службы (Service Account) Kubernetes.

Создание учетной записи службы для Kubernetes Dashboard

Создайте новую учетную запись службы для Kubernetes Dashboard:

kubectl create serviceaccount dashboard-sa -n kubernetes-dashboard

Проверьте создание учетной записи службы:

kubectl get serviceaccounts -n kubernetes-dashboard

Предоставление разрешений учетной записи службы дашборда

Создайте привязку роли кластера (ClusterRoleBinding), чтобы предоставить необходимые разрешения учетной записи службы дашборда:

kubectl create clusterrolebinding dashboard-sa-cluster-admin-binding --clusterrole=cluster-admin --serviceaccount=kubernetes-dashboard:dashboard-sa

Это связывает роль кластера (ClusterRole) cluster-admin с учетной записью службы dashboard-sa в пространстве имен (namespace) kubernetes-dashboard, предоставляя ей полный административный доступ к кластеру.

Настройка Kubernetes Dashboard на использование учетной записи службы

Измените развертывание (deployment) Kubernetes Dashboard, чтобы использовать учетную запись службы dashboard-sa:

kubectl edit deployment kubernetes-dashboard -n kubernetes-dashboard

Обновите поле spec.template.spec.serviceAccountName на dashboard-sa.

Перезапустите под (pod) Kubernetes Dashboard, чтобы изменения вступили в силу:

kubectl delete pod -n kubernetes-dashboard -l app.kubernetes.io/name=kubernetes-dashboard

Теперь Kubernetes Dashboard будет использовать учетную запись службы dashboard-sa для взаимодействия с сервером API Kubernetes, обеспечивая безопасный доступ к ресурсам кластера.

Предоставление разрешений для Kubernetes Dashboard

Для предоставления необходимых разрешений Kubernetes Dashboard можно использовать систему ролевой авторизации (Role-Based Access Control, RBAC) Kubernetes для определения и назначения соответствующих ролей и разрешений.

Понимание RBAC в Kubernetes

Система ролевой авторизации (RBAC) Kubernetes представляет собой мощный механизм контроля доступа к ресурсам Kubernetes. Она позволяет определять роли с определенными разрешениями и затем назначать эти роли пользователям, группам или учетным записям службы.

Основные компоненты RBAC:

Роли (Roles): Определяют набор разрешений, которые могут быть предоставлены субъекту.
Роли кластера (ClusterRoles): Аналогичны ролям, но применяются ко всему кластеру.
Привязки ролей (RoleBindings): Связывают роль с субъектом (пользователем, группой или учетной записью службы).
Привязки ролей кластера (ClusterRoleBindings): Связывают роль кластера с субъектом.

Предоставление разрешений для Kubernetes Dashboard

Для предоставления необходимых разрешений Kubernetes Dashboard можно создать роль кластера (ClusterRole) и привязку роли кластера (ClusterRoleBinding).

Создайте роль кластера, которая предоставляет необходимые разрешения:

kubectl create clusterrole dashboard-cluster-role --resource=deployments,pods,services,secrets,configmaps,jobs,cronjobs --verb=get,list,watch,create,update,delete

Эта роль кластера предоставляет разрешения на чтение, запись и удаление указанных ресурсов Kubernetes.

Создайте привязку роли кластера, чтобы связать роль кластера с учетной записью службы Kubernetes Dashboard:

kubectl create clusterrolebinding dashboard-cluster-role-binding --clusterrole=dashboard-cluster-role --serviceaccount=kubernetes-dashboard:dashboard-sa

Это связывает роль кластера dashboard-cluster-role с учетной записью службы dashboard-sa в пространстве имен kubernetes-dashboard.

Теперь у Kubernetes Dashboard будут необходимые разрешения для доступа и управления ресурсами в кластере Kubernetes.

Резюме

В этом руководстве вы узнали о учетных записях службы (Service Accounts) Kubernetes, их важности и о том, как их настроить. Вы также узнали, как настроить Kubernetes Dashboard с использованием учетной записи службы и предоставить необходимые разрешения для дашборда. Понимая и правильно настраивая учетные записи службы Kubernetes, вы можете обеспечить безопасное взаимодействие и детальный контроль доступа в кластере Kubernetes.