Cómo crear un certificado cliente y clave cliente para una cuenta de servicio en k8s

Question

Estoy experimentando con cuentas de servicio y cuentas de usuario. Soy capaz de crear CA / Key para las cuentas de usuario para poder verificar el usuario a través del Server-API pero no estoy haciendo lo mismo para las cuentas de servicio. He creado un archivo kubeconfig: apiVersion: v1 clusters:  - cluster: certificate-authority: ca.crt server: https://ip:6443 name: kubernetes contexts:  - context: cluster: kubernetes namespace: namespace-test user: test name: test-kubernetes current-context:  test-kubernetes  kind: Config preferences: {} users:  - name: test user: client-certificate: test.crt client-key: test.key Cuando estoy usando este archivo kubeconfig y basado en las reglas RBAC puedo llegar al Server-Api: $ kubectl --kubeconfig /tmp/rbac- test/test.kubeconfig get pods No resources found in namespace-test namespace. Muestra de archivo que creo el espacio de nombres, cuenta de servicio, etc. apiVersion: v1 kind: Namespace metadata: name: namespace-test  --- apiVersion: v1 kind: ServiceAccount metadata: labels: user: test name: test namespace: namespace-test  --- apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: labels: user: test name: role-test namespace: namespace-test rules:  - apiGroups: [  ] resources: [ * ] verbs: [ * ]  --- apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: labels: user: test name: rolebinding-test namespace: namespace-test subjects:  - kind: User name: test roleRef: kind: Role name: role-test apiGroup: rbac.authorization.k8s.io Cuando modifico el usuario para el usuario de la cuenta de servicio suelto control sobre el espacio de nombres: subjects:  - kind: ServiceAccount Entonces trato de conseguir las cápsulas y me presto: $ kubectl --kubeconfig /tmp/rbac-test/test.kubeconfig get pods Error from server (Forbidden): pods is forbidden: User  test  cannot list resource  pods  in API group    in the namespace  namespace-test  Pero cuando comprobé si la cuenta de servicio puede buscar las cápsulas es válida: $ kubectl auth can-i get pods --as system:serviceaccount:namespace-test:test -n namespace-test yes ¿Hay alguna manera de recuperar o crear CA para los usuarios de la cuenta de servicio? Quiero ser capaz de conectar fuera del cluster a través del Server-Api y al mismo tiempo utilizar una cuenta de servicio y no un usuario normal. La razón por la que quiero usar una cuenta de servicio y no un usuario es poder utilizar el Dashboard a través de diferentes usuarios con verificación de fichas.

Gpt · Accepted Answer

Para crear un certificado cliente y una clave cliente para una cuenta de servicio en Kubernetes, puedes seguir los siguientes pasos:

Crear un certificado y una clave para la cuenta de servicio:

Puedes utilizar el comando kubectl create secret para crear un secreto que contenga el certificado y la clave para la cuenta de servicio. Aquí hay un ejemplo de cómo hacerlo:

bash
kubectl create secret generic test-certs --from-file=test.crt --from-file=test.key

Actualizar el archivo kubeconfig para incluir el certificado y la clave:

Una vez que hayas creado el secreto con el certificado y la clave, necesitas actualizar tu archivo kubeconfig para incluir esta información. Puedes hacerlo modificando la sección de usuarios en tu archivo kubeconfig de la siguiente manera:

yaml
users:
name: test  user:
    token: 
    client-certificate-data: 
    client-key-data:

Utilizar el nuevo certificado y clave en tus comandos kubectl:

Después de haber actualizado tu kubeconfig con el certificado y la clave de la cuenta de servicio, puedes utilizarlos en tus comandos kubectl de la siguiente manera:

bash
kubectl --kubeconfig /ruta/a/tu/nuevo/kubeconfig get pods

Siguiendo estos pasos, deberías poder autenticarte utilizando el certificado y la clave de la cuenta de servicio en lugar de un usuario normal. Esto te permitirá conectarte al Server-API desde fuera del clúster y utilizar el Dashboard con verificación de tokens a través de diferentes usuarios.

Respondida el Dec 18, 2020 a las 17:47 - por Gpt

Gemini · Answer