4.8.安全 4.8.1.概念 一些内容可参考4.6.2.Secret的内容 说明 Kubernetes 作为一个分布式集群的管理工具,保证集群的安全性是其一个重要的任务.API Server 是集群内部各个组件通信的中介,也是外部控制的入口.所以 Kubernetes 的安全机制基本就是围绕保护 API Server 来设计的.Kubernetes 使用了认证(Authentication).鉴权(Authorization).准入控制(AdmissionControl)三步来保证API Se

目录 k8s配置中心-configmap,Secret 创建ConfigMap 使用ConfigMap subPath参数 Secret 官方文档 编写secret清单 使用secret 在 Pod 中使用 Secret 文件 将 Secret 键名映射到特定路径 Secret 文件权限 使用来自卷中的 Secret 值 k8s配置中心-configmap,Secret ​ 在生产环境中经常会遇到需要修改配置文件的情况,传统的修改方式不仅会影响到服务的正常运行,而且操作步骤也很繁琐.为了解决这个

使用kubeseal加密和管理k8s集群的secret 在k8s的管理过程中,像secret这种资源并不好维护,kubeseal提供了一种相对简单的方式来对原始secret资源进行加密,并通过控制器进行解密,以此来规避secret泄露风险. 安装 安装kubeseal $ wget https://github.com/bitnami-labs/sealed-secrets/releases/download/v0.18.0/kubeseal-0.18.0-linux-amd64.tar.gz

ConfigMap:k8s标准资源,将配置文件做成k8s资源,使其它资源可加载其中配置 Secret:实现加密功能的安全配置文件.由多个key:val中组成 创建configmap资源,可直接使用kubectl创建并且传值 kubectl create configmap filebeat-cfg -n config --from-literal=redis_host="redis.default.svc.cluster.local" --from-literal=log_level=

1.configmap configmap和secret是两种特殊的存储卷,它们不是给pod提供存储空间用的,而是给管理员或者用户提供了从外部向pod内部注入信息的方式. configmap:把配置文件放在配置中心上,然后多个pod读取配置中心的配置文件,不过,configmap中的配置信息都是明文的,所以不安全; secret:功能和configmap一样,只不过配置中心存储的配置文件不是明文的.configmap和secret也是专属于某个名称空间的. # 用命令行创建configmap k

前文我们了解了k8s上的pv/pvc/sc资源的使用和相关说明,回顾请参考:https://www.cnblogs.com/qiuhom-1874/p/14188621.html:今天我们主要来聊一下k8s上配置应用相关话题: 在说configmap和secret资源之前,我们先来回顾下在docker环境下怎么给容器提供配置信息:在docker容器里我们要给容器里的应用提供配置的方式有两种,一种是通过环境变量的方式,把对应容器里跑的程序的某些属性通过一个环境变量传递给容器运行时的环境中去,这样容

Pod 本身并不能自愈(self-healing).如果一个 Pod 所在的 Node (节点)出现故障,或者调度程序自身出现故障,Pod 将被删除:同理,当因为节点资源不够或节点维护而驱逐 Pod 时,Pod 也将被删除.Kubernetes 通过引入 Controller(控制器)的概念来管理 Pod 实例.在 Kubernetes 中,更为推荐的做法是使用 Controller 来管理 Pod,而不是直接创建 Pod. 用户应该始终使用控制器来创建 Pod,而不是直接创建 Pod,控制器可

第一章.前言 每一个用户对API资源进行操作都需要通经过以下三个步骤: 第一步:对客户端访问进行认证操作,确认是否具有访问k8s权限 token(共享秘钥) SSL(双向SSL认证) ....通过任何一个认证即表示认证通过,进入下一步 第二步:授权检查,确认是否对资源具有相关的权限 ABAC(基于属性的访问控制) RBAC(基于角色的访问控制) NODE(基于节点的访问控制) WEB HOOK(自定义HTTP回调方法的访问控制) 第三步:准入控制(对操作资源相关联的其他资源是否有权限操作) Ku

k8s的webUI管理界面可以更好更直观更便捷的让我们去管理我们的k8s集群. 我们知道,由于某些原因我们无法直接拉取dashboard的镜像,但是国内有些人已经将镜像下载到dockerhub中可以给我们使用 在GitHub官网中获取dashboard的资源清单:https://github.com/kubernetes/dashboard wget https://raw.githubusercontent.com/kubernetes/dashboard/v1.10.1/src/deploy

k8s学习 - 概念 - master/node 在k8s中,有各种各样的概念和术语.这些概念是必须要学习和掌握的.我们先罗列下所有概念,然后再一个个看具体实例. 大概说一下这些概念: Master: k8s的主控组件,对应的对象是node. Node: 是k8s集群的机器节点,相当于master-node.一个node就对应一个具体的物理机或者虚拟机. Container: 是一个镜像容器,一个container是一个镜像实例 Pod: 是k8s集群的最小单元,一个pod可以包含一个或者多个c

下载官方yaml文件 最新的配置文件v2.0.0-beta8版本recommended.yaml,UI地址 wget https://raw.githubusercontent.com/kubernetes/dashboard/v2.0.0-beta8/aio/deploy/recommended.yaml 原文件: kind: Service apiVersion: v1 metadata: labels: k8s-app: kubernetes-dashboard name: kuberne

前文我们聊到了k8s中给Pod添加存储卷相关话题,回顾请参考:https://www.cnblogs.com/qiuhom-1874/p/14180752.html:今天我们来聊一下持久存储卷相关话题: volume的基础使用,需要我们用户手动来向不同类型存储接口传递不同的参数,从而实现把外部存储映射到k8s上的一个volume对象,使得pod才能正常的挂载对应的存储卷,对应pod里的容器才能正常使用:这种使用方式的前提是用户必须了解对应的存储系统,了解对应类型的存储接口,以及相关参数:这使得用

圈子太小,做人留一面,日后好相见. 其实这个文章就是用户用jumpserver登录到k8s master节点 然后执行kubectl的时候只有自己namespaces的所有权限. 背景 1,k8s 有一天突然kubectl 执行任何命令都报权限不对. 2,最后查明是因为有一个开发不小心把admin的ClusterRoleBinding给删除了. 3,jumpserver给所有开发的权限都是同一个普通用户. 4,因为我们是一个k8s集群,然后用不同的namespaces区分不同的业务小组.每个小组

后缀数组的一些基本概念请自行百度,简单来说后缀数组就是一个字符串所有后缀大小排序后的一个集合,然后我们根据后缀数组的一些性质就可以实现各种需求. public class MySuffixArrayTest { public char[] suffix;//原始字符串 public int n;//字符串长度 public int[] rank;// Suffix[i]在所有后缀中的排名 public int[] sa;// 满足Suffix[SA[1]] < Suffix[SA[2]] --

1.实战目的 从私有docker仓库拉取镜像,部署pod.上一篇中,我们搭建了私有的镜像仓库,这一篇我们将与k8s结合实战使用私有仓库. 2.登录docker 为了完成本次实战,需要登录docker,如下: 3.为k8s集群创建Secret 当pod从私用仓库拉取镜像时,k8s集群使用类型为docker-registry的Secret来提供身份认证,创建一个名为registry-key的Secret,执行如下命令: $ kubectl delete secret registry-key kub

如果公司的docker仓库(harbor),需要用户认证之后,才能拉取镜像. 那如何在k8s里生成这个secret呢? 这个secret如何还原呢? 在k8s的yaml文件里如何实现呢? 这里提供几个命令小贴士: 1,生成docker-registry的secret kubectl create secret docker-registry harborsecret --docker-server=harbor.demo.com.cn --docker-username='docker-admi

1.第一步 创建一sa,并授予需要的一个权限(需要授予的权限) 2.第二步 取步骤1中的sa的 secret的token文件并进行base64解码      echo "$TOKEN"|base64  -d 3. 将步骤二中解码token放置在新的config文件中的 并设置: users: - name: kubelet-bootstrap user: token: "步骤二中的解码token文件"

写在前面 为了不违反广告法,我竭尽全力,不过"最佳实践"确是标题党无疑,如果硬要说的话 只能是个人最佳实践. 问题引出 ​ 可能很多新手都会遇到同样的问题:我要我的Asp.net Core 应用传统方式直接部署(host),docker部署(docker-compose),kubernetes(以下称k8s)下部署,都用统一的方式读取配置,怎么实现呢?. ​ 大家知道,我们默认平时配置文件以appsettings.json .appsettings.{EnvironmentName}.

将公司中已有的 confluence 服务迁移到 k8s 集群中,需要保留当前已有的数据.整体需要分为如下几个步骤: 备份 mysql 数据 备份 confluence 安装目录 备份 confluence 数据目录 制作 mysql 镜像并导入数据 制作 confluence 镜像 一.MySQL 服务 1. 制作 MySQL 镜像 由于公司环境中的 confluence 服务使用的数据库版本是 5.6,所以首先下载官方 mysql 镜像: docker pull mysql:5.6 将下载好

摘要:本文将解密K8s Cluster Autoscaler模块的架构和代码的Deep Dive,及K8s Cluster Autoscaler 华为云插件. 背景信息 基于业务团队(Cloud BU 应用平台)在开发Serverless引擎框架的过程中完成的K8s Cluster Autoscaler华为云插件. 目前该插件已经贡献给了K8s开源社区,见下图: 本文将会涉及到下述内容: 1. 对K8s Cluster Autoscaler模块的架构和代码的Deep Dive,尤其是核心功能点的

1.7:k8s应用环境: 1.7.1:dashboard(1.10.1) 部署kubernetes的web管理界面dashboard 参考文档: https://www.jianshu.com/p/40c0405811ee                    https://www.kubernetes.org.cn/5462.html 1.7.1.1:具体步骤: 1.导入dashboard镜像并上传至本地harbor服务器 # tar xvf dashboard-yaml_image-1.1