k8s中kubeconfig的配置及使用

一就是一發表於2022-01-18
K8S

1、概述

kubeconfig檔案儲存了k8s叢集的叢集、使用者、名稱空間、認證的資訊。kubectl命令使用kubeconfig檔案來獲取叢集的資訊，然後和API server進行通訊。

注意：用於配置對叢集的訪問的檔案稱為kubecconfig檔案。也就是說，kubeconfig檔案中包含的內容是叢集的配置。但是，並不是必須有個檔名字叫kubeconfig

預設情況下，kubectl命令從$HOME/.kube目錄下查詢一個名字叫做config的檔案。可以通過KUBECONFIG環境變數或者--kubeconfig引數來指定其他的kubeconfig檔案。

kubeconfig中主要由如下部分組成：

  • clusters （叢集）
  • users（使用者）
  • context（上下文）

2、kubeconfig支援多叢集、多使用者、多認證

在實際的使用中的如下場景：

  • kubelet使用證書認證（kubelet和api server進行認證）
  • 使用者使用token進行認證
  • 管理員為不同的使用者提供不同的證書

都可以使用kubeconfig來組織起叢集、使用者、名稱空間的資訊。同樣，也可以使用context在叢集和名稱空間之間進行切換。

3、Context的定義

在kubeconfig中，context中將訪問一個叢集的引數進行分組。訪問這個context名稱就是訪問這個引數組。context就是一組資訊的別名，舉例來說，當在高德中使用家的地址，公司的地址就是一個別名，就能迅速的定位到具體的地址資訊。

每個context都有3個引數：

  1. cluster （叢集）
  2. namespace（名稱空間）
  1. user（使用者）

預設情況下，kubectl命令從current context中來獲取引數，然後與叢集進行通訊。

4、檢視kubeconfig的配置

如果有KUBECONFIG環境變數，看到的配置是合併的配置

[root@nccztsjb-node-11 ~]# kubectl config view
apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: DATA+OMITTED
    server: https://k8s.apiserver.io:6443
  name: cluster.local
contexts:
- context:
    cluster: cluster.local
    user: kubernetes-admin-cluster.local
  name: kubernetes-admin-cluster.local@cluster.local
current-context: kubernetes-admin-cluster.local@cluster.local
kind: Config
preferences: {}
users:
- name: kubernetes-admin-cluster.local
  user:
    client-certificate-data: REDACTED
    client-key-data: REDACTED
[root@nccztsjb-node-11 ~]#

通過kubectl config view得到的配置可能是來自一個kubeconfig檔案，也可能是來自多個kubeconfig檔案合併的結果。

5、kubeconfig設定

5.1、設定叢集

（1）叢集有CA認證，並且將證書的輸入嵌入到配置檔案中

kubectl config --kubeconfig=config-demo set-cluster development --server=https://1.2.3.4 --embed-certs --certificate-authority=ca.crt

指定--kubeconfig引數後，所有的配置都會寫到對應的檔案中。如果不指定--kubeconfig引數那麼就會將配置檔案寫到~/.kube/config這個檔案中。

--certificate-authority後面是ca證書的路徑，需要確保這個證書是存在的。

檢視config-demo檔案的內容

[root@nccztsjb-node-11 config-exercise]# cat config-demo 
apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: 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
    server: https://1.2.3.4
  name: development
contexts: null
current-context: ""
kind: Config
preferences: {}
users: null
[root@nccztsjb-node-11 config-exercise]#

已經設定好了叢集

（2）叢集沒有證書的

kubectl config --kubeconfig=config-demo set-cluster development --server=https://1.2.3.4

檢視證書內容

[root@nccztsjb-node-11 config-exercise]# kubectl config --kubeconfig=config-demo set-cluster development --server=https://1.2.3.4
Cluster "development" set.
[root@nccztsjb-node-11 config-exercise]# cat config-demo 
apiVersion: v1
clusters:
- cluster:
    server: https://1.2.3.4
  name: development
contexts: null
current-context: ""
kind: Config
preferences: {}
users: null
[root@nccztsjb-node-11 config-exercise]

（3）叢集有證書，但是證書驗證的

kubectl config --kubeconfig=config-demo set-cluster scratch --server=https://5.6.7.8 --insecure-skip-tls-verify

檢視證書的內容

[root@nccztsjb-node-11 config-exercise]# cat config-demo 
apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: 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
    server: https://1.2.3.4
  name: development
- cluster:
    insecure-skip-tls-verify: true
    server: https://5.6.7.8
  name: scratch
contexts: null
current-context: ""
kind: Config
preferences: {}
users: null
[root@nccztsjb-node-11 config-exercise]#

(4)刪除叢集

kubectl config --kubeconfig=config-demo unset clusters.development

5.2、設定使用者

（1）設定使用者，使用客戶端的證書和客戶端金鑰，並且將證書資料嵌入到配置檔案中

kubectl config --kubeconfig=config-demo set-credentials developer --client-certificate=fake-cert-file --client-key=fake-key-seefile --embed-certs=true

注意：客戶端證書和key必須要存在。

(2)設定使用者，使用使用者名稱和密碼

kubectl config --kubeconfig=config-demo set-credentials experimenter --username=exp --password=some-password

（3）刪除使用者

kubectl config --kubeconfig=config-demo unset users.experimenter

experimenter這個就是使用set-credentials引數後面的名字。

5.3、增加上下文資訊context

kubectl config --kubeconfig=config-demo set-context dev-frontend --cluster=development --namespace=frontend --user=developer

設定context將叢集、名稱空間、使用者進行分組。即在dev-fronted這個context的以developer使用者的資訊訪問developement叢集的frontend名稱空間。

kubectl config --kubeconfig=config-demo set-context dev-storage --cluster=development --namespace=storage --user=developer

dev-stroage這個context訪問stroage名稱空間。

檢視通過以上的所有配置形成的kubeconfig檔案

[root@nccztsjb-node-11 config-exercise]# cat config-demo 
apiVersion: v1
clusters:
- cluster:
    certificate-authority: fake-ca-file
    server: https://1.2.3.4
  name: development
- cluster:
    insecure-skip-tls-verify: true
    server: https://5.6.7.8
  name: scratch
contexts:
- context:
    cluster: development
    namespace: frontend
    user: developer
  name: dev-frontend
- context:
    cluster: development
    namespace: storage
    user: developer
  name: dev-storage
- context:
    cluster: scratch
    namespace: default
    user: experimenter
  name: exp-scratch
current-context: ""
kind: Config
preferences: {}
users:
- name: developer
  user:
    client-certificate: fake-cert-file
    client-key: fake-key-seefile
- name: experimenter
  user:
    password: some-password.
    username: exp

5.4、設定當前的context

kubectl config --kubeconfig=config-demo use-context dev-frontend

檢視當前的context

kubectl config --kubeconfig=config-demo current-context

5.5、只檢視和當前context有關的配置資訊

kubectl config --kubeconfig=config-demo view --minify
[root@nccztsjb-node-11 config-exercise]# kubectl config --kubeconfig=config-demo view --minify
apiVersion: v1
clusters:
- cluster:
    certificate-authority: fake-ca-file
    server: https://1.2.3.4
  name: development
contexts:
- context:
    cluster: development
    namespace: frontend
    user: developer
  name: dev-frontend
current-context: dev-frontend
kind: Config
preferences: {}
users:
- name: developer
  user:
    client-certificate: fake-cert-file
    client-key: fake-key-seefile

那麼kubeconfig中的其他的資訊就不會顯示

5.6、檢視配置中所有的context

[root@nccztsjb-node-11 config-exercise]# kubectl config --kubeconfig=config-demo get-contexts
CURRENT   NAME           CLUSTER       AUTHINFO       NAMESPACE
*         dev-frontend   development   developer      frontend
          dev-storage    development   developer      storage
          exp-scratch    scratch       experimenter   default

ok,以上就是kubeconfig的基本配置和使用。

6、總結

主要就是2個概念，kubeconfig由叢集、使用者、context組成。context將叢集、名稱空間、使用者進行分組。每個context對應一個環境資訊。

相關文章