报错信息: Message: Forbidden!Configured service account doesn't have access. Service account may have been revoked. User "system:serviceaccount:mycomp-services-process:default" cannot get resource “pods” in API group "" in the namespace &q

自我认为的k8s三大难点:权限验证,覆盖网络,各种证书. 今天就说一下我所理解的权限验证rbac. 咱不说rbac0,rbac1,rbac2,rbac3.咱就说怎么控制权限就行. 一.前言 1,反正RBAC模型是非常牛逼的.现在运用的非常广.官方的解释是(Role-Based Access Control:基于角色的访问控制). 2,简单抽象的概括就是:谁 是否可以对 什么东西 进行 怎么样 的访问操作. 3,这样就组成了访问权限的三个重要的东西:谁    什么东西    怎么样 比如:   

https://kubernetes.io/docs/tasks/configure-pod-container/assign-memory-resource/ 只挑个人感觉使用较多/比较重要的点来说 namespace Create a namespace so that the resources you create in this exercise are isolated from the rest of your cluster. 和Linux的namespace是类似的,做一个隔离

在用longhorn工具做k8s存储卷动态预配的时候,需要修改longhorn.yaml的一个默认参数,修改完成需要重新加载longhorn.yaml,结果重新加载出错了,修改的参数没有生效,于是执行kubectl delete -f longhorn.yaml想将部署的资源全部删除重新启动:但是发现创建的namespace无法删除,状态一直是Terminating: [root@k8smaster longhorn]# kubectl get ns NAME STATUS AGE defaul

1.创建namespace gpu 2.增加限制 [root@tensorflow1 gpu-namespace]# cat compute-resources.yaml apiVersion: v1 kind: ResourceQuota metadata: name: compute-resources namespace: gpu spec: hard: pods: "5" requests.cpu: "1" requests.memory: 1Gi limi

圈子太小,做人留一面,日后好相见. 其实这个文章就是用户用jumpserver登录到k8s master节点 然后执行kubectl的时候只有自己namespaces的所有权限. 背景 1,k8s 有一天突然kubectl 执行任何命令都报权限不对. 2,最后查明是因为有一个开发不小心把admin的ClusterRoleBinding给删除了. 3,jumpserver给所有开发的权限都是同一个普通用户. 4,因为我们是一个k8s集群,然后用不同的namespaces区分不同的业务小组.每个小组

一.知识准备 ● 上一节描述了k8s的账户管理,本文描述基于角色的访问控制 ● 网上RBAC的文章非常多,具体概念大神们也解释得很详细,本文没有站在高屋建瓴的角度去描述RBAC,而是站在一个普通程序员的视角,去看待RBAC ● 我理解的基于角色的访问控制,如图: +------------+ +------------>|all:resource|-+ | +------------+ | +----------------+ +----+---+ | | | +------+ |role: |

https://www.kancloud.cn/huyipow/prometheus/527092 https://songjiayang.gitbooks.io/prometheus/content/demo/target.html   创建 monitoring namespaces apiVersion: v1 kind: Namespace metadata: name: monitoring Prometheus RBAC 权限管理 创建prometheus-k8s 角色账号 apiV

业界要闻 Mesosphere 公司正式更名为 D2IQ, 关注云原生. Mesosophere 公司日前发布官方声明正式更名为:D2iQ(Day-Two-I-Q),称关注点转向 Kubernetes 与云原生领域, 并会继续将“Mesosphere”作为产品技术和品牌的一部分. Kubernetes 两个安全漏洞修复指南. 2.1  Kubernetes API server 曝出安全漏洞(CVE-2019-11247),该漏洞使得指定了命名空间权限的请求可以访问到集群级别权限的自定义资源(C

一.下载helm安装脚本 1.1 介绍 Helm是Kubernetes的包管理器. 其实就是管理了一推配置文件,ds,configmap,deployment......,一类规则. 就类似: yum是centos的包管理器. apt-get是ubuntu的包管理器. pip是python的包管理器. npm是nodejs的包管理器. 1.2 下载helm安装脚本 # 这样下载的都是master 最新版的. curl https://raw.githubusercontent.com/helm/

User namespace 是 Linux 3.8 新增的一种 namespace,用于隔离安全相关的资源,包括 user IDs and group IDs,keys, 和 capabilities.同样一个用户的 user ID 和 group ID 在不同的 user namespace 中可以不一样(与 PID nanespace 类似).换句话说,一个用户可以在一个 user namespace 中是普通用户,但在另一个 user namespace 中是超级用户.User name

作者 | 汤志敏 阿里云容器服务开发负责人 Kubernetes 是云原生时代的基础设施.云上的分布式操作系统. 9 月 26 日云栖大会容器专场,在<拐点已至,云原生引领数字化转型升级>的演讲中,容器服务开发负责人汤志敏表示:"阿里云容器服务已经拥有国内最大规模的公共云容器集群,据各大国际评测机构显示,其市场份额和产品综合能力中国内第一. 本次容器服务 ACK2.0 在规模.性能和弹性能力上全面升级,支持单集群万节点.90% 原生性能的安全沙箱容器.分钟级千节点弹性.此外,容器服务

通常情况下,我们的线上的服务在迁移到k8s环境下的时候,都是采用平滑迁移的方案.服务治理与注册中心等都是采用原先的组件.比如spring cloud应用,在k8s环境下还是用原来的一套注册中心(如eureka),服务治理(hystrix,ribbon)等.但是当我们开发新的应用时,我们是可以借助于sping-cloud-kubernetes组件为我们提供的服务发现.负载均衡等来摈弃像eureka这样的注册中心.本文主要通过构建两个spring cloud 服务来演示spring-cloud-ku

1. 项目迁移背景 1.1 为什么要在"太岁"上动土? 目前公司的测试环境.UAT环境.生产环境均已经使用k8s进行维护管理,大部分项目均已完成容器化,并且已经在线上平稳运行许久.在我们将大大小小的项目完成容器化以后,测试.UAT.生产环境的发版工具以及CICD流程慢慢的实现统一化管理,并且基于k8s开发了内部的发版审核平台,同时接入了Jira等项目管理工具. 在自研平台进行发版时,能够自动关联项目的开发进度以及Release版本,最重要的是其可以控制发版权限.统一发版工具及发版模式,

在云原生趋势下,容器和 Kubernetes 可谓是家喻户晓,许多企业内部的研发团队都在使用 Kubernetes 打造 DevOps 平台.从最早的容器概念到 Kubernetes 再到 DevOps/GitOps 整个技术链非常庞大,Kubernetes 的优势也显而易见 可移动 可扩展 自修复 等,但有一个劣势点就是技术门槛太高,对于开发者来说单单一个 Kubernetes 就够我们学习一段时间了. 通常我们在 Kubernetes 中部署应用需要用 Dockerfile 将业务打成镜像,

第一章和第二章中我们配置Prometheus的成本非常高,而且也非常麻烦.但是我们要考虑Prometheus.AlertManager 这些组件服务本身的高可用的话,成本就更高了,当然我们也完全可以用自定义的方式来实现这些需求,我们也知道 Promethues 在代码上就已经对 Kubernetes 有了原生的支持,可以通过服务发现的形式来自动监控集群,因此我们可以使用另外一种更加高级的方式来部署 Prometheus:Operator 框架. 什么是Operator Operator是由Cor

1. 在Ceph上为Kubernetes创建一个文件系统 # ceph osd pool create cephfs_data # ceph osd pool create cephfs_metadata # ceph fs new cephfs cephfs_metadata cephfs_data 2. CephFS配置Quotas CephFS的mount方式分为内核态mount和用户态mount,内核态使用mount命令挂载,用户态使用ceph-fuse.内核态只有在kernel 4.1

一 RBAC 1.1 RBAC授权 基于角色的访问控制(RBAC)是一种基于个人用户的角色来管理对计算机或网络资源的访问的方法. RBAC使用rbac.authorization.k8s.io API组来推动授权决策,允许管理员通过Kubernetes API动态配置策略. 使用--authorization-mode=RBAC开启RBAC授权模块功能. RBAC API定义了四个资源对象用于描述RBAC中用户和资源之间的连接权限: Role ClusterRole RoleBinding Cl

一.Prometheus支持的多种服务发现机制(常用如下) static_configs: 静态服务发现 file_sd_configs: 文件服务发现 dns_sd_configs: DNS 服务发现 kubernetes_sd_configs: Kubernetes 服务发现 consul_sd_configs: Consul 服务发现 二.Prometheus主要配置prometheus.yml中的scrape_configs以及consul_sd_configs如下 scrape_con

一.自动发现类型 在上一篇文中留了一个坑: 监控某个statefulset服务的时候,我在service文件中定义了个EP,然后把pod的ip写死在配置文件中,这样,当pod重启后,IP地址变化,就监控不到数据了,这肯定是不合理的. 如果在我们的 Kubernetes 集群中有了很多的 Service/Pod,那么我们都需要一个一个的去建立一个对应的 ServiceMonitor 对象来进行监控吗?这样岂不是也很麻烦么? 为解决上面的问题,Prometheus Operator 为我们提供了一个