K8S Dashborad登陆认证文档

K8S Dashboard是官方的一个基于WEB的用户界面，专门用来管理K8S集群，并可展示集群的状态。因为我们使用kubeadm搭建的集群会默认开启RABC（角色访问控制机制），所以我们必须要进行额外的设置。关于RABC的概念，网上资料很多，大家务必提前了解。这里简要介绍一下几个重要概念：

RBAC

K8S 1.6引进，是让用户能够访问 k8S API 资源的授权方式【不授权就没有资格访问K8S的资源】

用户

K8S有两种用户：User和Service Account。其中，User给人用，Service Account给进程用，让进程有相关权限。如Dashboard就是一个进程，我们就可以创建一个Service Account给它

角色

Role是一系列权限的集合，例如一个Role可包含读取和列出 Pod的权限【 ClusterRole 和 Role 类似，其权限范围是整个集群】

角色绑定

RoleBinding把角色映射到用户，从而让这些用户拥有该角色的权限【ClusterRoleBinding 和RoleBinding 类似，可让用户拥有 ClusterRole 的权限】

Secret

Secret是一个包含少量敏感信息如密码，令牌，或秘钥的对象。把这些信息保存在 Secret对象中，可以在这些信息被使用时加以控制，并可以降低信息泄露的风险

K8S Dashboard是官方的一个基于WEB的用户界面，专门用来管理K8S集群，并可展示集群的状态。因为我们使用kubeadm搭建的集群会默认开启RABC（角色访问控制机制），所以我们必须要进行额外的设置。关于RABC的概念，网上资料很多，大家务必提前了解。这里简要介绍一下几个重要概念：

RBAC

K8S 1.6引进，是让用户能够访问 k8S API 资源的授权方式【不授权就没有资格访问K8S的资源】

用户

K8S有两种用户：User和Service Account。其中，User给人用，Service Account给进程用，让进程有相关权限。如Dashboard就是一个进程，我们就可以创建一个Service Account给它

角色

Role是一系列权限的集合，例如一个Role可包含读取和列出 Pod的权限【 ClusterRole 和 Role 类似，其权限范围是整个集群】

角色绑定

RoleBinding把角色映射到用户，从而让这些用户拥有该角色的权限【ClusterRoleBinding 和RoleBinding 类似，可让用户拥有 ClusterRole 的权限】

Secret

Secret是一个包含少量敏感信息如密码，令牌，或秘钥的对象。把这些信息保存在 Secret对象中，可以在这些信息被使用时加以控制，并可以降低信息泄露的风险

一，安装dashboard。

1，运行以下命令，完成dashborad的基本安装：

# Copyright 2017 The Kubernetes Authors.
#
# Licensed under the Apache License, Version 2.0 (the "License");
# you may not use this file except in compliance with the License.
# You may obtain a copy of the License at
#
#     http://www.apache.org/licenses/LICENSE-2.0
#
# Unless required by applicable law or agreed to in writing, software
# distributed under the License is distributed on an "AS IS" BASIS,
# WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
# See the License for the specific language governing permissions and
# limitations under the License.

# ------------------- Dashboard Secret ------------------- #

apiVersion: v1
kind: Secret
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard-certs
  namespace: kube-system
type: Opaque

---
# ------------------- Dashboard Service Account ------------------- #

apiVersion: v1
kind: ServiceAccount
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard
  namespace: kube-system

---
# ------------------- Dashboard Deployment ------------------- #

kind: Deployment
apiVersion: apps/v1beta2
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard
  namespace: kube-system
spec:
  replicas: 1
  revisionHistoryLimit: 10
  selector:
    matchLabels:
      k8s-app: kubernetes-dashboard
  template:
    metadata:
      labels:
        k8s-app: kubernetes-dashboard
    spec:
      containers:
      - name: kubernetes-dashboard
        image: k8s.gcr.io/kubernetes-dashboard-amd64:v1.8.3
        ports:
        - containerPort: 8443
          protocol: TCP
        args:
          - --auto-generate-certificates
          # Uncomment the following line to manually specify Kubernetes API server Host
          # If not specified, Dashboard will attempt to auto discover the API server and connect
          # to it. Uncomment only if the default does not work.
          # - --apiserver-host=https://api-server:6443
        volumeMounts:
        - name: kubernetes-dashboard-certs
          mountPath: /certs
          # Create on-disk volume to store exec logs
        - mountPath: /tmp
          name: tmp-volume
        livenessProbe:
          httpGet:
            scheme: HTTPS
            path: /
            port: 8443
          initialDelaySeconds: 30
          timeoutSeconds: 30
      volumes:
      - name: kubernetes-dashboard-certs
        secret:
          secretName: kubernetes-dashboard-certs
      - name: tmp-volume
        emptyDir: {}
      serviceAccountName: kubernetes-dashboard
      # Comment the following tolerations if Dashboard must not be deployed on master
      tolerations:
      - key: node-role.kubernetes.io/master
        effect: NoSchedule

---
# ------------------- Dashboard Service ------------------- #

kind: Service
apiVersion: v1
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard
  namespace: kube-system
spec:
  ports:
    - port: 443
      targetPort: 8443
  selector:
    k8s-app: kubernetes-dashboard

    Kubectl apply –f kubernetes-dashboard.yaml

[此脚本位于yaml/dashboard/目录下]

此kubernetes-dashboard.yaml文件以后需要改造。只保守Secret， Service Account, Deployment, Service这个段下的yaml即可。

2，运行以下命令，为dashboard作rbac授权：

apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: kubernetes-dashboard
  labels:
    k8s-app: kubernetes-dashboard
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- kind: ServiceAccount
  name: kubernetes-dashboard
  namespace: kube-system

    kubectl apply -f kubernetes-dashboard-admin.rbac.yaml

[此脚本位于yaml/dashboard/目录下]

3, 访问如下URL(注意https协议，6443端口)：

https://[ip:6443]/api/v1/namespaces/kube-system/services/https:kubernetes-dashboard:/proxy/

4，如果用户点击跳过，此时则会出现无法察看任何dashboard信息。

二，获取此sa帐号的token，并通过token授权访问dashboard。

1，  运行如下命令，获取kubernetes-dashboard这个sa的token。

    kubectl get secret $(kubectl -n kube-system get secret | grep kubernetes-dashboard-token | awk '{print $1}')  -o jsonpath={.data.token} -n kube-system |base64 –d

2，  在dashbord登陆界面，输入这个token即可登陆。

三，制作此sa帐号的kube.config文件，并通过Kubeconfig授权访问dashboard。

1，  录入以下脚本,为指定的k8s api认证提供config文件，此脚本需要一个k8s api地址参数。

#!/usr/bin/env bash

set -o errexit
set -o nounset
set -o pipefail

DASH_TOKEN=`kubectl get secret $(kubectl -n kube-system get secret | grep kubernetes-dashboard-token | awk '{print $1}')  -o jsonpath={.data.token} -n kube-system |base64 -d`
echo $DASH_TOKEN

kubectl config set-cluster kubernetes --server=${} --kubeconfig=./dashboard-admin.conf

kubectl config set-credentials kubernetes-dashboard --token=$DASH_TOKEN --kubeconfig=./dashboard-admin.conf

kubectl config set-context dashboard@kubernetes --cluster=kubernetes --user=kubernetes-dashboard --kubeconfig=./dashboard-admin.conf

kubectl config use-context dashboard@kubernetes --kubeconfig=./dashboard-admin.conf

2，  运行此脚本，以当前k8s集群的api server地址和端口，会在和脚本的同一个目录生成一个dashboard-admin.conf文件。

    sh gen_kube_cfg.sh ip_address:6443

3，  将此dashboard-admin.conf的内容cp到windows电脑的一个文件中。 在登陆时，即可选择kubeconfig登陆，指定这个文件即可。