Skip to content

NimTechnology

Trình bày các công nghệ CLOUD một cách dễ hiểu.

  • Kubernetes & Container
    • Docker
    • Kubernetes
      • Ingress
    • Helm Chart
    • Isito-EnvoyFilter
    • Apache Kafka
      • Kafka
      • Kafka Connect
      • Lenses
    • Vault
    • Longhorn – Storage
    • VictoriaMetrics
    • MetalLB
    • Kong Gateway
  • CI/CD
    • ArgoCD
    • ArgoWorkflows
    • Spinnaker
    • Jenkins
    • Harbor
    • TeamCity
    • Git
      • Bitbucket
  • Coding
    • Terraform
      • GCP – Google Cloud
      • AWS – Amazon Web Service
    • Golang
    • Laravel
    • Python
    • Jquery & JavaScript
    • Selenium
  • Log & Monitor
    • DataDog
    • Prometheus
    • Grafana
    • ELK
      • Kibana
      • Logstash
  • BareMetal
    • NextCloud
  • Toggle search form

[Kubernetes] RBAC Demo

Posted on January 26, 2022February 13, 2022 By nim No Comments on [Kubernetes] RBAC Demo

Có thể anh em có làm việc với Kubernetes kha khá.
Nhưng khi đúng đến RBAC thì có thể anh em của chúng ta sẽ khá lúng túng.

Bạn có thể tham khảo video này

Mình xin phép node lại mốt số thứ.

Ảnh trên thì bạn sẽ thấy Ông John này sẽ có quyền tác động lên namespace: FINANCE.
John sẽ thêm xoá, sửa, list của pods, deployments, replicasets.

Ngoài ra thì anh còn bảo là chúng ta có thể tạo ra 1 group FINANCE và group nãy sẽ chỉ action trên Namespace FINANCE.

giờ chúng ta sẽ tạo namespace:

root@k8s-master-cluster2:~# kubectl create ns finance
namespace/finance created
root@k8s-master-cluster2:~# kubectl get ns
NAME              STATUS   AGE
default           Active   33m
finance           Active   7s
kube-node-lease   Active   33m
kube-public       Active   33m
kube-system       Active   33m

Contents

  • 1) Practice RBAC with User
    • 1.1) Gen .crt and .key
    • 1.2) Gen kubeconfig
    • 1.3) create BRAC for User
  • 2) Practice RBAC with Group
    • 2.1) create BRAC for Group

1) Practice RBAC with User

https://github.com/justmeandopensource/kubernetes/blob/master/docs/create-user-certificates.md

1.1) Gen .crt and .key

Generating private key for John (john.key)

openssl genrsa -out john.key 2048
s

Generating certificate signing request (john.csr)

openssl req -new -key john.key -out john.csr -subj "/CN=john/O=finance"

Copy kubernetes ca certificate and key
Do bước này mình sài k0s để cài k8s nên là mình làm như sau:

cp /var/lib/k0s/pki/ca.{crt,key} /root/john/

với k8s khác thì mình thấy ở đây:

/etc/kubernetes/pki/ca.{crt,key} /root/john/

Sign the certificate using certificate authority

openssl x509 -req -in john.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out john.crt -days 365

1.2) Gen kubeconfig

kubectl --kubeconfig john.kubeconfig config set-cluster kubernetes --server https://192.168.101.50:6443 --certificate-authority=ca.crt

nếu bạn ko nhớ –server của mình là gì thì
kubectl config view

kubectl --kubeconfig john.kubeconfig config set-credentials john --client-certificate=/root/john/john.crt --client-key=/root/john/john.key
kubectl --kubeconfig john.kubeconfig config set-context john-kubernetes --cluster kubernetes --namespace finance --user john

Lúc này chúng ta được file “john.kubeconfig”

root@k8s-master-cluster2:~/john# cat john.kubeconfig 
apiVersion: v1
clusters:
- cluster:
    certificate-authority: ca.crt
    server: https://192.168.101.50:6443
  name: kubernetes
contexts:
- context:
    cluster: kubernetes
    namespace: finance
    user: john
  name: john-kubernetes
current-context: ""
kind: Config
preferences: {}
users:
- name: john
  user:
    client-certificate: john.crt
    client-key: john.key

với format kubeconfig ở trên thì có 1 điểm yếu là bạn cấp cho người khác sẽ khá khó khăn

khi đó bạn gõ:
kubectl --kubeconfig ./john.kubeconfig get pods

bạn nhận về 1 thông báo:
The connection to the server localhost:8080 was refused – did you specify the right host or port?

mình cũng bảo. ủ mình config server rồi mà.????

sửa file như sau:
bạn sẽ nhận được 1 thông báo như trên
là bạn bị chặn he!

Để dễ dàng trong việc chia sẽ file kubeconfig thì chúng ta sẽ muộn template của kubeconfig admin đồ!

rm -f john.kubeconfig

root@k8s-master-cluster2:~# cp ~/.kube/config /root/john/john.kubeconfig

Mính sẽ show cho bạn thấy các phần cần thay đổi:

cat john.crt | base64 -w0
cat john.key | base64 -w0

1.3) create BRAC for User

Giờ chúng ta cần tạo role

kubectl create role --help | grep kubectl
kubectl create role john-finance --verb=get,list --resource=pods --namespace finance
kubectl create rolebinding john-finance-rolebinding --role=john-finance --user=john --namespace finance

Khi này thì anh/em có thể get pod được rồi

root@k8s-master-cluster2:~/john# kubectl --kubeconfig ./john.kubeconfig get pods
No resources found in finance namespace.

Giờ chúng ta get thứ pods của 1 namespace khác xem sao?

kubectl --kubeconfig ./john.kubeconfig get pods -n kube-system
Error from server (Forbidden): pods is forbidden: User "john" cannot list resource "pods" in API group "" in the namespace "kube-system"

Hoặc giờ chúng ta thử get service:

root@k8s-master-cluster2:~/john# kubectl --kubeconfig ./john.kubeconfig get svc
Error from server (Forbidden): services is forbidden: User "john" cannot list resource "services" in API group "" in the namespace "finance"

Giờ mình sẽ sửa cho get all luôn he:

kubectl -n finance edit role john-finance
Bạn thêm “*” vào chỗ resource
và save lại nhé!

giờ bạn mà muốn deploy trên namespace này bằng User: John

kubectl -n finance edit role john-finance
Bạn change “*” ở verbs và save lại.

Giờ bạn thử deploy:

kubectl --kubeconfig ./john.kubeconfig create deployment hello-minikube --image=k8s.gcr.io/echoserver:1.4
kubectl --kubeconfig ./john.kubeconfig get all
kubectl --kubeconfig ./john.kubeconfig delete deploy hello-minikube

2) Practice RBAC with Group

OK giờ chúng ta test RBAC với USER được òi.
giờ test với GROUP sem sao?

kubectl delete rolebinding john-finance-rolebinding -n finance

2.1) create BRAC for Group

kubectl create rolebinding finance-rolebinding --role=john-finance --group=finance --namespace finance
kubectl get rolebinding finance-rolebinding --namespace finance -o yaml
User John của mình vẫn get được phà phà.
bời vì ngay từ đầu thì group của John đã là Finance.
Kubernetes, Kubernetes & Container

Post navigation

Previous Post: [logstash/kibana] Draw a Map on Kibana by data from Logstash – Fix “Index pattern does not contain any geospatial fields”
Next Post: [kibana] Guiding design Pie chart on Kibana with response data – Elasticsearch.

More Related Articles

[Kubernetes] Lesson6: k8s Easy – Deployment Kubernetes & Container
[Kubernetes] Lesson8: k8s Easy – Node Kubernetes & Container
[ExternalSecrets-Vault-k8s] Hướng dẫn đồng bộ secret từ Vault sang K8s bằng 1 opensouce Godady Kubernetes & Container
[Sonarqube] Install Sonarqube on Kubernetes and integrate with GitHub Action. Kubernetes & Container
[Metrics Server] Failed to make webhook authorizer request: the server could not find the requested resource Kubernetes
[Postgresql] Install Postgresql in Kubernetes by helm. Kubernetes & Container

Leave a Reply Cancel reply

Your email address will not be published. Required fields are marked *

Tham Gia Group DevOps nhé!
Để Nim có nhiều động lực ra nhiều bài viết.
Để nhận được những thông báo mới nhất.

Recent Posts

  • [Prometheus/Grafana] Install Prometheus and Grafana on ubuntu. March 27, 2023
  • [Kong Gateway] WebSocket connection failed March 26, 2023
  • [Nextcloud] Can’t download files to have a size bigger than 2Gi on NextCloud – RaspBerry March 24, 2023
  • [Datadog] Using DataDog to monitor all services on kubernetes March 19, 2023
  • [Metrics Server] Failed to make webhook authorizer request: the server could not find the requested resource March 17, 2023

Archives

  • March 2023
  • February 2023
  • January 2023
  • December 2022
  • November 2022
  • October 2022
  • September 2022
  • August 2022
  • July 2022
  • June 2022
  • May 2022
  • April 2022
  • March 2022
  • February 2022
  • January 2022
  • December 2021
  • November 2021
  • October 2021
  • September 2021
  • August 2021
  • July 2021
  • June 2021

Categories

  • BareMetal
    • NextCloud
  • CI/CD
    • ArgoCD
    • ArgoWorkflows
    • Git
      • Bitbucket
    • Harbor
    • Jenkins
    • Spinnaker
    • TeamCity
  • Coding
    • Golang
    • Jquery & JavaScript
    • Laravel
    • Python
    • Selenium
    • Terraform
      • AWS – Amazon Web Service
      • GCP – Google Cloud
  • Kubernetes & Container
    • Apache Kafka
      • Kafka
      • Kafka Connect
      • Lenses
    • Docker
    • Helm Chart
    • Isito-EnvoyFilter
    • Kong Gateway
    • Kubernetes
      • Ingress
    • Longhorn – Storage
    • MetalLB
    • Vault
    • VictoriaMetrics
  • Log & Monitor
    • DataDog
    • ELK
      • Kibana
      • Logstash
    • Grafana
    • Prometheus
  • Uncategorized
  • Admin

Copyright © 2023 NimTechnology.