Knetes集群访问安全机制详解.pdfVIP

k8s集群的时候，需要经过三个安全步骤完成具体操作。

过程中都要经过apiserver，apiserver做统一协调。

第一步认证，判断用户是否为能够集群的合法用户。

第二步鉴权，通过鉴权策略决定一个API调用是否合法。

第三步准入控制，就算通过了上面两步，客户端的调用请求还需要通过准入控制的层层考验，才能获得成功的响应。大致意思就是到了这步还有一个类似acl的列表，如果

列表有请求内容，就通过，否则不通。它以插件的形式运行在APIServer进程中，会在鉴权阶段，对象被持久化etcd之前，APIServer的请求，对请求的资源对象执

行自定义（校验、修改、等）操作。

1.认证阶段

认证策略大概有4种：

认证：（Anonymousrequests）

认证一般默认是关闭的。

白认证：（BasicAuth认证）

白认证一般是服务启动时加载的basic用户配置文件，并且通常没有设置的话basic认证仅仅只能但是没有操作权限。

Token认证：（Webhooks、ServiceAccountTokens、OpenIDConnectTokens等）

token认证更涉及到对集群和pod的操作，这是我们比较关注的。

X509认证：（clientCA认证，TLSbootstrapping等