Skip to content

NimTechnology

Trình bày các công nghệ CLOUD một cách dễ hiểu.

  • Kubernetes & Container
    • Docker
    • Kubernetes
      • Ingress
    • Helm Chart
    • Isito-EnvoyFilter
    • Apache Kafka
      • Kafka
      • Kafka Connect
      • Lenses
    • Vault
    • Longhorn – Storage
    • VictoriaMetrics
  • CI/CD
    • ArgoCD
    • ArgoWorkflows
    • Spinnaker
    • Jenkins
  • Coding
    • Terraform
      • GCP – Google Cloud
      • AWS – Amazon Web Service
    • Golang
    • Laravel
    • Jquery & JavaScript
    • Git
    • Selenium
  • Log & Monitor
    • Prometheus
    • Grafana
    • ELK
      • Kibana
      • Logstash
  • BareMetal
  • Toggle search form

[Kubernetes] RBAC Demo

Posted on January 26, 2022February 13, 2022 By nim No Comments on [Kubernetes] RBAC Demo

Có thể anh em có làm việc với Kubernetes kha khá.
Nhưng khi đúng đến RBAC thì có thể anh em của chúng ta sẽ khá lúng túng.

Bạn có thể tham khảo video này

Mình xin phép node lại mốt số thứ.

Ảnh trên thì bạn sẽ thấy Ông John này sẽ có quyền tác động lên namespace: FINANCE.
John sẽ thêm xoá, sửa, list của pods, deployments, replicasets.

Ngoài ra thì anh còn bảo là chúng ta có thể tạo ra 1 group FINANCE và group nãy sẽ chỉ action trên Namespace FINANCE.

giờ chúng ta sẽ tạo namespace:

root@k8s-master-cluster2:~# kubectl create ns finance
namespace/finance created
root@k8s-master-cluster2:~# kubectl get ns
NAME              STATUS   AGE
default           Active   33m
finance           Active   7s
kube-node-lease   Active   33m
kube-public       Active   33m
kube-system       Active   33m

Contents

  • 1) Practice RBAC with User
    • 1.1) Gen .crt and .key
    • 1.2) Gen kubeconfig
    • 1.3) create BRAC for User
  • 2) Practice RBAC with Group
    • 2.1) create BRAC for Group

1) Practice RBAC with User

https://github.com/justmeandopensource/kubernetes/blob/master/docs/create-user-certificates.md

1.1) Gen .crt and .key

Generating private key for John (john.key)

openssl genrsa -out john.key 2048
s

Generating certificate signing request (john.csr)

openssl req -new -key john.key -out john.csr -subj "/CN=john/O=finance"

Copy kubernetes ca certificate and key
Do bước này mình sài k0s để cài k8s nên là mình làm như sau:

cp /var/lib/k0s/pki/ca.{crt,key} /root/john/

với k8s khác thì mình thấy ở đây:

/etc/kubernetes/pki/ca.{crt,key} /root/john/

Sign the certificate using certificate authority

openssl x509 -req -in john.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out john.crt -days 365

1.2) Gen kubeconfig

kubectl --kubeconfig john.kubeconfig config set-cluster kubernetes --server https://192.168.101.50:6443 --certificate-authority=ca.crt

nếu bạn ko nhớ –server của mình là gì thì
kubectl config view

kubectl --kubeconfig john.kubeconfig config set-credentials john --client-certificate=/root/john/john.crt --client-key=/root/john/john.key
kubectl --kubeconfig john.kubeconfig config set-context john-kubernetes --cluster kubernetes --namespace finance --user john

Lúc này chúng ta được file “john.kubeconfig”

root@k8s-master-cluster2:~/john# cat john.kubeconfig 
apiVersion: v1
clusters:
- cluster:
    certificate-authority: ca.crt
    server: https://192.168.101.50:6443
  name: kubernetes
contexts:
- context:
    cluster: kubernetes
    namespace: finance
    user: john
  name: john-kubernetes
current-context: ""
kind: Config
preferences: {}
users:
- name: john
  user:
    client-certificate: john.crt
    client-key: john.key

với format kubeconfig ở trên thì có 1 điểm yếu là bạn cấp cho người khác sẽ khá khó khăn

khi đó bạn gõ:
kubectl --kubeconfig ./john.kubeconfig get pods

bạn nhận về 1 thông báo:
The connection to the server localhost:8080 was refused – did you specify the right host or port?

mình cũng bảo. ủ mình config server rồi mà.????

sửa file như sau:
bạn sẽ nhận được 1 thông báo như trên
là bạn bị chặn he!

Để dễ dàng trong việc chia sẽ file kubeconfig thì chúng ta sẽ muộn template của kubeconfig admin đồ!

rm -f john.kubeconfig

root@k8s-master-cluster2:~# cp ~/.kube/config /root/john/john.kubeconfig

Mính sẽ show cho bạn thấy các phần cần thay đổi:

cat john.crt | base64 -w0
cat john.key | base64 -w0

1.3) create BRAC for User

Giờ chúng ta cần tạo role

kubectl create role --help | grep kubectl
kubectl create role john-finance --verb=get,list --resource=pods --namespace finance
kubectl create rolebinding john-finance-rolebinding --role=john-finance --user=john --namespace finance

Khi này thì anh/em có thể get pod được rồi

root@k8s-master-cluster2:~/john# kubectl --kubeconfig ./john.kubeconfig get pods
No resources found in finance namespace.

Giờ chúng ta get thứ pods của 1 namespace khác xem sao?

kubectl --kubeconfig ./john.kubeconfig get pods -n kube-system
Error from server (Forbidden): pods is forbidden: User "john" cannot list resource "pods" in API group "" in the namespace "kube-system"

Hoặc giờ chúng ta thử get service:

root@k8s-master-cluster2:~/john# kubectl --kubeconfig ./john.kubeconfig get svc
Error from server (Forbidden): services is forbidden: User "john" cannot list resource "services" in API group "" in the namespace "finance"

Giờ mình sẽ sửa cho get all luôn he:

kubectl -n finance edit role john-finance
Bạn thêm “*” vào chỗ resource
và save lại nhé!

giờ bạn mà muốn deploy trên namespace này bằng User: John

kubectl -n finance edit role john-finance
Bạn change “*” ở verbs và save lại.

Giờ bạn thử deploy:

kubectl --kubeconfig ./john.kubeconfig create deployment hello-minikube --image=k8s.gcr.io/echoserver:1.4
kubectl --kubeconfig ./john.kubeconfig get all
kubectl --kubeconfig ./john.kubeconfig delete deploy hello-minikube

2) Practice RBAC with Group

OK giờ chúng ta test RBAC với USER được òi.
giờ test với GROUP sem sao?

kubectl delete rolebinding john-finance-rolebinding -n finance

2.1) create BRAC for Group

kubectl create rolebinding finance-rolebinding --role=john-finance --group=finance --namespace finance
kubectl get rolebinding finance-rolebinding --namespace finance -o yaml
User John của mình vẫn get được phà phà.
bời vì ngay từ đầu thì group của John đã là Finance.
Kubernetes, Kubernetes & Container

Post navigation

Previous Post: [logstash/kibana] Draw a Map on Kibana by data from Logstash – Fix “Index pattern does not contain any geospatial fields”
Next Post: [kibana] Guiding design Pie chart on Kibana with response data – Elasticsearch.

More Related Articles

[Minio] Install MinIO on Kubernetes through minio-operator Kubernetes & Container
[Keycloak/OAuth2] Install Keycloak by helm on Kubernetes Kubernetes & Container
[kiali/istio] Fix issue Configured: configmaps “istio” not found Isito-EnvoyFilter
[Helm Chart] Làm chủ Helm trên Kubernetes trong 60 phút!! Helm Chart
[Kubernetes] How to delete namespace is Terminating and very stubborn Kubernetes
[Helm Chart] Tìm hiểu – (gạch giữa), _ (gạch dưới), dấu chấm “.” trong helm chart Helm Chart

Leave a Reply Cancel reply

Your email address will not be published. Required fields are marked *

Tham Gia Group DevOps nhé!
Để Nim có nhiều động lực ra nhiều bài viết.
Để nhận được những thông báo mới nhất.

Recent Posts

  • Protected: My Assignment  June 24, 2022
  • [Spinnaker] Spinnaker writes too many logs – Reduce spinnaker log level June 22, 2022
  • [Jenkins] Jobs will be created automatically by Jenkins Job Builder June 20, 2022
  • [Postgresql] Install postgresql client and trying a few command postgresql. June 20, 2022
  • [Mount/Nextcloud] How do you mount a hard disk that was used windows into Linux. June 19, 2022

Archives

  • June 2022
  • May 2022
  • April 2022
  • March 2022
  • February 2022
  • January 2022
  • December 2021
  • November 2021
  • October 2021
  • September 2021
  • August 2021
  • July 2021
  • June 2021

Categories

  • BareMetal
  • CI/CD
    • ArgoCD
    • ArgoWorkflows
    • Jenkins
    • Spinnaker
  • Coding
    • Git
    • Golang
    • Jquery & JavaScript
    • Laravel
    • Selenium
    • Terraform
      • AWS – Amazon Web Service
      • GCP – Google Cloud
  • Kubernetes & Container
    • Apache Kafka
      • Kafka
      • Kafka Connect
      • Lenses
    • Docker
    • Helm Chart
    • Isito-EnvoyFilter
    • Kubernetes
      • Ingress
    • Longhorn – Storage
    • Vault
    • VictoriaMetrics
  • Log & Monitor
    • ELK
      • Kibana
      • Logstash
    • Grafana
    • Prometheus
  • Uncategorized
  • Admin

Copyright © 2022 NimTechnology.