K8S Dashborad登陆认证文档

K8S Dashboard是官方的一个基于WEB的用户界面，专门用来管理K8S集群，并可展示集群的状态。因为我们使用kubeadm搭建的集群会默认开启RABC（角色访问控制机制），所以我们必须要进行额外的设置。关于RABC的概念，网上资料很多，大家务必提前了解。这里简要介绍一下几个重要概念：

RBAC

K8S 1.6引进，是让用户能够访问 k8S API 资源的授权方式【不授权就没有资格访问K8S的资源】

用户

K8S有两种用户：User和Service Account。其中，User给人用，Service Account给进程用，让进程有相关权限。如Dashboard就是一个进程，我们就可以创建一个Service Account给它

角色

Role是一系列权限的集合，例如一个Role可包含读取和列出 Pod的权限【 ClusterRole 和 Role 类似，其权限范围是整个集群】

角色绑定

RoleBinding把角色映射到用户，从而让这些用户拥有该角色的权限【ClusterRoleBinding 和RoleBinding 类似，可让用户拥有 ClusterRole 的权限】

Secret

Secret是一个包含少量敏感信息如密码，令牌，或秘钥的对象。把这些信息保存在 Secret对象中，可以在这些信息被使用时加以控制，并可以降低信息泄露的风险

K8S Dashboard是官方的一个基于WEB的用户界面，专门用来管理K8S集群，并可展示集群的状态。因为我们使用kubeadm搭建的集群会默认开启RABC（角色访问控制机制），所以我们必须要进行额外的设置。关于RABC的概念，网上资料很多，大家务必提前了解。这里简要介绍一下几个重要概念：

RBAC

K8S 1.6引进，是让用户能够访问 k8S API 资源的授权方式【不授权就没有资格访问K8S的资源】

用户

K8S有两种用户：User和Service Account。其中，User给人用，Service Account给进程用，让进程有相关权限。如Dashboard就是一个进程，我们就可以创建一个Service Account给它

角色

Role是一系列权限的集合，例如一个Role可包含读取和列出 Pod的权限【 ClusterRole 和 Role 类似，其权限范围是整个集群】

角色绑定

RoleBinding把角色映射到用户，从而让这些用户拥有该角色的权限【ClusterRoleBinding 和RoleBinding 类似，可让用户拥有 ClusterRole 的权限】

Secret

Secret是一个包含少量敏感信息如密码，令牌，或秘钥的对象。把这些信息保存在 Secret对象中，可以在这些信息被使用时加以控制，并可以降低信息泄露的风险

一，安装dashboard。

1，运行以下命令，完成dashborad的基本安装：

# Copyright 2017 The Kubernetes Authors.
#
# Licensed under the Apache License, Version 2.0 (the "License");
# you may not use this file except in compliance with the License.
# You may obtain a copy of the License at
#
#     http://www.apache.org/licenses/LICENSE-2.0
#
# Unless required by applicable law or agreed to in writing, software
# distributed under the License is distributed on an "AS IS" BASIS,
# WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
# See the License for the specific language governing permissions and
# limitations under the License.

# ------------------- Dashboard Secret ------------------- #

apiVersion: v1
kind: Secret
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard-certs
  namespace: kube-system
type: Opaque

---
# ------------------- Dashboard Service Account ------------------- #

apiVersion: v1
kind: ServiceAccount
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard
  namespace: kube-system

---
# ------------------- Dashboard Deployment ------------------- #

kind: Deployment
apiVersion: apps/v1beta2
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard
  namespace: kube-system
spec:
  replicas: 1
  revisionHistoryLimit: 10
  selector:
    matchLabels:
      k8s-app: kubernetes-dashboard
  template:
    metadata:
      labels:
        k8s-app: kubernetes-dashboard
    spec:
      containers:
      - name: kubernetes-dashboard
        image: k8s.gcr.io/kubernetes-dashboard-amd64:v1.8.3
        ports:
        - containerPort: 8443
          protocol: TCP
        args:
          - --auto-generate-certificates
          # Uncomment the following line to manually specify Kubernetes API server Host
          # If not specified, Dashboard will attempt to auto discover the API server and connect
          # to it. Uncomment only if the default does not work.
          # - --apiserver-host=https://api-server:6443
        volumeMounts:
        - name: kubernetes-dashboard-certs
          mountPath: /certs
          # Create on-disk volume to store exec logs
        - mountPath: /tmp
          name: tmp-volume
        livenessProbe:
          httpGet:
            scheme: HTTPS
            path: /
            port: 8443
          initialDelaySeconds: 30
          timeoutSeconds: 30
      volumes:
      - name: kubernetes-dashboard-certs
        secret:
          secretName: kubernetes-dashboard-certs
      - name: tmp-volume
        emptyDir: {}
      serviceAccountName: kubernetes-dashboard
      # Comment the following tolerations if Dashboard must not be deployed on master
      tolerations:
      - key: node-role.kubernetes.io/master
        effect: NoSchedule

---
# ------------------- Dashboard Service ------------------- #

kind: Service
apiVersion: v1
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard
  namespace: kube-system
spec:
  ports:
    - port: 443
      targetPort: 8443
  selector:
    k8s-app: kubernetes-dashboard

    Kubectl apply –f kubernetes-dashboard.yaml

[此脚本位于yaml/dashboard/目录下]

此kubernetes-dashboard.yaml文件以后需要改造。只保守Secret， Service Account, Deployment, Service这个段下的yaml即可。

2，运行以下命令，为dashboard作rbac授权：

apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: kubernetes-dashboard
  labels:
    k8s-app: kubernetes-dashboard
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- kind: ServiceAccount
  name: kubernetes-dashboard
  namespace: kube-system

    kubectl apply -f kubernetes-dashboard-admin.rbac.yaml

[此脚本位于yaml/dashboard/目录下]

3, 访问如下URL(注意https协议，6443端口)：

https://[ip:6443]/api/v1/namespaces/kube-system/services/https:kubernetes-dashboard:/proxy/

4，如果用户点击跳过，此时则会出现无法察看任何dashboard信息。

二，获取此sa帐号的token，并通过token授权访问dashboard。

1，  运行如下命令，获取kubernetes-dashboard这个sa的token。

    kubectl get secret $(kubectl -n kube-system get secret | grep kubernetes-dashboard-token | awk ‘{print $1}‘)  -o jsonpath={.data.token} -n kube-system |base64 –d

2，  在dashbord登陆界面，输入这个token即可登陆。

三，制作此sa帐号的kube.config文件，并通过Kubeconfig授权访问dashboard。

1，  录入以下脚本,为指定的k8s api认证提供config文件，此脚本需要一个k8s api地址参数。

#!/usr/bin/env bash

set -o errexit
set -o nounset
set -o pipefail

DASH_TOKEN=`kubectl get secret $(kubectl -n kube-system get secret | grep kubernetes-dashboard-token | awk ‘{print $1}‘)  -o jsonpath={.data.token} -n kube-system |base64 -d`
echo $DASH_TOKEN

kubectl config set-cluster kubernetes --server=${1} --kubeconfig=./dashboard-admin.conf

kubectl config set-credentials kubernetes-dashboard --token=$DASH_TOKEN --kubeconfig=./dashboard-admin.conf

kubectl config set-context [email protected] --cluster=kubernetes --user=kubernetes-dashboard --kubeconfig=./dashboard-admin.conf

kubectl config use-context [email protected] --kubeconfig=./dashboard-admin.conf

2，  运行此脚本，以当前k8s集群的api server地址和端口，会在和脚本的同一个目录生成一个dashboard-admin.conf文件。

    sh gen_kube_cfg.sh ip_address:6443

3，  将此dashboard-admin.conf的内容cp到windows电脑的一个文件中。 在登陆时，即可选择kubeconfig登陆，指定这个文件即可。

原文地址：https://www.cnblogs.com/aguncn/p/9983658.html

时间： 2024-10-18 09:20:33

K8S Dashborad登陆认证文档的相关文章

centos k8s部署文档

文档会持续更新,以下是部署k8s二进制安装方法版本环境:kubernetes1.10.6Docker1.13 kubernetes?系统的各组件需要使用?TLS?证书对通信进行加密,本文档使用?CloudFlare?的 PKI 工具集cfssl?来生成 Certificate Authority (CA) 和其它证书:生成的 CA 证书和秘钥文件如下:ca-key.pemca.pemkubernetes-key.pemkubernetes.pemkube-proxy.pemkube-proxy-

windows程序设计——飞机大战笔记（单文档文件登陆界面）

//////////////2015/07/21//////////////// /////////////by xbw/////////////////////// /////////////环境 VS 2013//////////// 飞机大战做的差不多了,闲来无事加点高大上的东西,关于单文档的登陆界面::: 界面有点丑,但是足够账号登陆了,,先试一把: 还不错吧,该有的都有了:: 下面说一下过程 ...... 首先,我们要在资源视图中创建一个Dialog对话框::: 先大体画一下这个对话框

堡垒机-麒麟开源堡垒机SSH公私钥认证配置文档

1.进入SSH公私钥管理界面 操作步骤:进入系统,点击左侧导航资产管理,后边TAB标签导航SSH公私钥,如下图 2.批量导入SSH公私钥: SSH公私钥管理界面,点击下方"导入",进入导入页面上传公私钥, 上传说明: 1) 讲所有的公私钥放到一个名为pvt的空文件夹中. 2) 在同样这个文件夹中建立一个名为sshkey.csv的文件,用excel打开格式如下图 Sshkeyname对应sshkey的名称, Sshkeypublickey对应公钥文件名 Sshkeyprivatekey对

swagger文档添加jwt认证

最近写的swagger文档,要加jwt授权,所以几经google终于搞定了,简简单单几行配置如下: securityDefinitions: APIKey: type: apiKey name: Authorization in: header security: - APIKey: []

软件设计文档及数据流向图

1 数据流向图:张涛 033  2 软件设计结构图:马冀伟 034 3 软件概要设计详细设计文档:王树才  030 一:数据流向图 二:软件设计结构图 三: 软件概要设计详细设计文档 项目名称:  基于服务器的购物系统 1 数据层: 产生的数据有:物品的基本信息,包括名称, 数量,价格,类别,说明,图片:订单信息,包括订单提交时间,订单详情,订单失效时间:用户信息,包括用户名,登录密码,登录时间: 用户上传自己数据:物品名称,数量,价格,类别,说明,图片,用户手机号. 2 整体结构 1 用户登录

ceph安装配置文档（centos6.6）

Ceph安装部署文档 目录 一:简介... 1 二:部署环境介绍... 1 三:集群配置准备工作... 2 四:安装ceph软件包... 6 五:安装ceph对象网关... 9 六.搭建ceph集群... 10 6.1.配置mon节点... 10 6.2:添加osd节点... 13 6.2.1.添加第一块osd节点... 13 6.3:添加元数据服务器... 17 6.3.1.添加第一个元数据服务器... 17 七:安装client端RBD.cephFS挂载演示... 18 7.1:客户端内核要

spring-security 登陆认证之初次探究

首先,希望还对 spring-security框架完全不懂的新手 下载下Git源码. 引入到项目中.这个短文就是边看源码边聊的.也会启动下项目验证自己的推想. spring-security 登陆认证的配置项如下: <form-login login-page="/login.jsp" authentication-failure-url="/login.jsp?error=true" default-target-url="/index.ht&qu

邮件系统部署文档（Linux版）

文档目的 熟悉邮件系统,了解邮件收发流程 基础知识 MUA(Mail User Agent 用户代理): 用于收发邮件. MTA(Mail Transfer Agent邮件传输代理):将来自于MUA的邮件转发给指定用户. MDA(Mail Delivery Agent邮件投递代理):将来自于MTA的邮件保存到本机的收件箱中.(事实上,这个 MDA 是挂在 MTA 底下的一个小程序, 最主要的功能就是:分析由 MTA 所到的信件表头或内容等数据, 来决定这封邮件的去向.) Postfix:提供邮件

如何利用启明星Portal门户系统的Page模块构建文档库

利用启明星门户系统的Page模块构架可以搭建企业内部的文档管理系统. (一)应用背景 企业内部通常都会使用共享网盘的方式来存放不同部门之间的文档,例如管理员在服务器上对人事部门增加人事部文档文件夹. 但是随着文件的增加,管理会越来越不方便,主要体现在 (1)查找不方便.用户可能为了找一个制度文档翻遍所有文件夹. (2)公私不明权限维护不方便,例如在人事部文档内部,部分制度需要公开,部分仅限人事部内部查看,而现行管理方式中所有内容都混在了一起,杂乱无章. 为此,启明星推出了Pages模块的文档管理