转自: https://mritd.me/2018/01/07/kubernetes-tls-bootstrapping-note/ 前段时间撸了一会 Kubernetes 官方文档,在查看 TLS bootstrapping 这块是发现已经跟 1.4 的时候完全不一样了:目前所有搭建文档也都保留着 1.4 时代的配置,在看完文档后发现目前配置有很多问题,同时也埋下了 隐藏炸弹,这个问题可能会在一年后爆发-..后果就是集群 node 全部掉线:所以仔细的撸了一下这个文档,从元旦到写此文章的时间都…

这个写得确实专业, 转一下收藏. https://mritd.me/2018/01/07/kubernetes-tls-bootstrapping-note/ 阅读本文章前,请先阅读一下本文参考的相关文档: TLS bootstrapping Kubelet Server Certificate Bootstrap & Rotation Using RBAC Authorization 一.TLS bootstrapping 简介 Kubernetes 在 1.4 版本(我记着是)推出了 TLS…

一 Kubernetes证书 1.1 TLS Kubernetes系统的各个组件需要使用TLS证书对其通信加密以及授权认证,建议在部署之前先生成相关的TLS证书. 1.2 CA证书创建方式 kubernetes 系统各个组件需要使用TLS证书对通信进行加密,通常可通过以下工具生产自建证书: openssl cfssl easyrsa 1.3 Kubernetes组件证书 部署kubernetes组件建议使用TLS双向认证的,相关组件涉及的主要证书有: etcd证书:etcd集群之间通信加密使用的…

目录 目录 前言 集群详情 环境说明 安装前准备 提醒 一.创建TLS证书和秘钥 安装CFSSL 创建 CA (Certificate Authority) 创建 CA 配置文件 创建 CA 证书签名请求 生成 CA 证书和私钥 创建 kubernetes 证书 生成 kubernetes 证书和私钥 创建 admin 证书 生成 admin 证书和私钥 创建 kube-proxy 证书 生成 kube-proxy 客户端证书和私钥 校验证书 使用 opsnssl 命令 使用 cfssl-cer…

目录 目录 前言 集群详情 环境说明 安装前准备 提醒 一.创建TLS证书和秘钥 安装CFSSL 创建 CA (Certificate Authority) 创建 CA 配置文件 创建 CA 证书签名请求 生成 CA 证书和私钥 创建 kubernetes 证书 生成 kubernetes 证书和私钥 创建 admin 证书 生成 admin 证书和私钥 创建 kube-proxy 证书 生成 kube-proxy 客户端证书和私钥 校验证书 使用 opsnssl 命令 使用 cfssl-cer…

第一章.部署dashboard 作为Kubernetes的Web用户界面,用户可以通过Dashboard在Kubernetes集群中部署容器化的应用,对应用进行问题处理和管理,并对集群本身进行管理.通过Dashboard,用户可以查看集群中应用的运行情况,同时也能够基于Dashboard创建或修改部署.任务.服务等Kubernetes的资源.通过部署向导,用户能够对部署进行扩缩容,进行滚动更新.重启Pod和部署新应用. 项目地址:https://github.com/kubernetes/das…

关于CKA考试 CKA(Certified Kubernetes Administrator)是CNCF基金会(Cloud Native Computing Foundation)官方推出的Kubernetes管理员认证计划,用于证明持有人有履行Kubernetes管理的知识,技能等相关的能力. 除了对于个人技能提供认证以外,如果企业想要加入CNCF基金会的KCSP计划(Kubernetes认证服务提供商)也需要企业至少有3名及以上工程师的通过CKA认证考试. 考试注册地址 CKA考试费用 参与…

前言 前面篇章的gRPC都是明文传输的,容易被篡改数据.本章将介绍如何为gRPC添加安全机制,包括TLS证书认证和Token认证. TLS证书认证 什么是TLS TLS(Transport Layer Security,安全传输层),TLS是建立在传输层TCP协议之上的协议,服务于应用层,它的前身是SSL(Secure Socket Layer,安全套接字层),它实现了将应用层的报文进行加密后再交由TCP进行传输的功能. TLS的作用 TLS协议主要解决如下三个网络安全问题. 保密(messag…

1.环境准备 # 查看Docker服务器主机名hostnamectl 这里记住我的主机名s130就好 # 静态主机名修改vi /etc/hostname# 临时主机名修改(重启失效)hostname s130   2.创建TLS证书 创建create_crets.sh文件并执行,生成的证书在/certs/docker目录下, # create_crets.sh,将[证书生成脚本]内容复制进去touch create_crets.sh chmod 755 create_crets.sh # 证书生…

#### 1.环境准备 ```bash# 查看Docker服务器主机名hostnamectl```  这里记住我的主机名s130就好 ```bash# 静态主机名修改vi /etc/hostname# 临时主机名修改(重启失效)hostname s130 ``` #### 2.创建TLS证书 创建create_cr…

Go gRPC 系列: 跟我一起学Go系列:gRPC 拦截器使用 跟我一起学Go系列:gRPC 入门必备 第一篇入门说过 gRPC 底层是基于 HTTP/2 协议的,HTTP 本身不带任何加密传输功能,基于 SSL 的 HTTPS 协议才是加密传输.gRPC 使用了 HTTP/2 协议但是并未使用 HTTPS,即少了加密传输的部分. 对于加密传输的部分 gRPC 将它抽出来作为一个组件,可以由用户自由选择.gRPC 内默认提供了两种 内置的认证方式: 基于 CA 证书的 SSL/TLS 认证方式…

一.TLS认证简介 1.TLS认证 (1)认证过程 · 最安全认证技术 · 实施最复杂 (2)TLS双向证书认证 · 服务器对客户端进行认证 · 客户端对服务器进行认证 2.TLS认证过程 3.交换机认证模式 (1)MAC认证模式 · 该模式下连接到同一端口的每个设备都需要单独进行认证: · 华为交换机默认模式. (2)端口认证模式 · 只要连接到端口的某个客户端通过认证: · 其它客户端则不需要认证,就可以访问网络资源. 4.测试组网 (1)组网说明 · 交换机使用华为的S5720: · 服务…

对于访问kube-apiserver模块的请求来说,如果是使用http协议,则会顺利进入模块内部得到自己想要的:但是如果是用的是https,则能否进入模块内部获得想要的资源,他会首先要进行https自有的tls握手,进而进入kube-apiserver的三大控制,接下来,就让我一起研究下..... 一,对Kubernetes API访问的三大控制 Authentication:认证,确认“你是不是你",包括多种方式,如 Client Certificates, Password, and Pla…

一 Kubernetes访问 1.1 Kubernetes交互 与Kubernetes交互通常有kubectl.客户端(Dashboard).REST API请求. 1.2 API访问流程 用户使用kubectl.客户端(Web).或者REST请求访问API的时候,Kubernetes内部服务或外部访问都可获得授权来访问API.当一个请求达到API的时候,通常会经过以下阶段: 1.3 安装传输 通常在Kubernetes集群中,API在端口443上提供服务.且通常为自签名的证书,在$USER/.…

Dashboard:https://github.com/kubernetes/dashboard 一.Dashboard部署 由于需要用到k8s.gcr.io/kubernetes-dashboard-amd64:v1.10.0,这里有2种方式进行pull 镜像.docker search该镜像名称,直接pull,再重新进行tag:另外一种方式是通过谷歌容器镜像拉取. [root@k8s-node01 ~]# docker pull siriuszg/kubernetes-dashboard-…

1.Kubernetes安装之创建Kubeconfig文件 https://jimmysong.io/blogs/kubernetes-create-kubeconfig/ 2.轻松了解Kubernetes认证功能 http://qinghua.github.io/kubernetes-security/ 3.kubernetes集群的安全配置 http://tonybai.com/2016/11/25/the-security-settings-for-kubernetes-cluster/…

1.了解认证机制 API服务器可以配置一到多个认证的插件(授权插件同样也可以).API服务器接收到的请求会经过一个认证插件的列表,列表中的每个插件都可以检查这个请求和尝试确定谁在发送这个请求.列表中的第一个插件可以提取请求中客户端的用户名.用户ID和组信息,并返回给API服务器.API服务器会停止调用剩余的认证插件并继续进入授权阶段. 目前有几个认证插件是直接可用的.它们使用下列方法获取客户端的身份认证: 客户端证书 传入在HTTP头中的认证token 基础的HTTP认证 其他 启动API服务器…

通过 TLS来进行远程访问 百度百科 - TLS.我们需要在远程 docker 服务器(运行 docker 守护进程的服务器)生成 CA 证书,服务器证书,服务器密钥,然后自签名,再颁发给需要连接远程 docker 容器的服务器 之前对生成docker的tls证书的不是很理解,学习了一下,写了一个脚本直接生成docker需要的证书,下面有脚本的所有代码 主要流程有三步 1.生成 CA 密钥和证书 #生成ca私钥(使用aes256加密) read -s PASSWORD openssl genrs…

以RedHat7(64bit)平台为例 如果RedHat源没法用,可以使用EPEL源 # rpm -Uvh https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm # yum makecache # yum install gcc --enablerepo=epel (指定使用epel源) IP信息清单: Nginx_Master: 192.168.136.201   提供负载均衡Nginx_BackUp: 1…

一.kubernetes的认证授权       Kubernetes集群的所有操作基本上都是通过kube-apiserver这个组件进行的,它提供HTTP RESTful形式的API供集群内外客户端调用.需要注意的是:认证授权过程只存在HTTPS形式的API中.也就是说,如果客户端使用HTTP连接到kube-apiserver,那么是不会进行认证授权的.所以说,可以这么设置,在集群内部组件间通信使用HTTP,集群外部就使用HTTPS,这样既增加了安全性,也不至于太复杂.        Kuber…

本节内容: Kubernetes简介 环境信息 创建TLS加密通信的证书和密钥 下载和配置 kubectl(kubecontrol) 命令行工具 创建 kubeconfig 文件 创建高可用 etcd 集群 部署 kubernetes master节点 部署kubernetes node节点 安装和配置 kube-dns 插件 一.Kubernetes简介 Kubernetes是谷歌开源的容器集群管理系统,是Google多年大规模容器管理技术Borg的 开源版本,主要功能包括: 基于容器的应用部…

访问控制概述 API Server作为Kubernetes集群系统的网关,是访问和管理资源对象的唯一入口:包括kube-controller-manager.kube-scheduler.kubelet和kube-proxy等集群基础组件.CoreDNS等附加组件和kubectl命令等都需要经过网关才能进行正常的访问和管理.每一次的访问请求都需要进行合法性检验,包括用户身份验证.操作权限验证及操作规范验证等,需要通过一系列验证通过之后才能访问或存储数据到etcd中.如下图所示 通过上图可以看出访…

一.概述 1.我们前面介绍了kubernetes的两个东西,认证和授权 2.在kubernetes中我们对API server的一次访问大概会包含哪些信息?简单来讲它是restfule风格接口,也就是某个用户对某个操作执行了某个操作. subject --> action --> object. a.因此我们授权定义也是围绕这种方式展开的,同时我们也不能允许所有用户随意就能够访问我们k8s. b.所以我们讲到了认证,讲到了它的两种认证方式,第一种叫token,一种叫证书认证,即tls,当然还有…

Kubernetes用来执行安全访问和权限的步骤有3个--认证(Authentication).授权(Authorization)和准入(Admission).在本文中,我们先开始了解认证(Authentication). 在认证中第一个需要考虑的是身份认证(Identity). 身份认证简介 Kubernetes假设"user"是在Kubernetes之外管理的.在生产环境中,可以采用LDAP(轻量级目录访问协议).SSO(单点登录).Kerberos或SAML(安全断言置标语言)进…

TLS: transport level security , 安全传输层协议,用于在两个通信应用程序之间提供保密性和数据完整性.该协议由两层组成: TLS 记录协议(TLS Record)和 TLS 握手协议(TLS Handshake). 目前基于TLS的EAP认证方法主要有三种: (1)EAP-TLS 使用TLS握手协议作为认证方法. TLS认证是基于client和server双方互相验证数字证书的,是双向验证方法.首先由server提供自己的证书给client,client验证serve…

地址: 链接:https://pan.baidu.com/s/1bwEUZTCVzqM3mGjrlISbcg 提取码:r1kx 目录: 目录: │ 1-1.kubernetes理论教程 - 云原生技术的前世今生.mp4│ 1-2.kubernetes理论教程 - K8S初体验.mp4│ 1-3.kubernetes理论教程 - K8s工作负载原理剖析和实践.mp4│ 1-4.kubernetes理论教程 - K8s调度器原理剖析和实践.mp4│ 1-5.kubernetes理论教程 - K8S网…

一.环境搭建 1.mosquitto介绍 mosquitto是一个实现了MQTT3.1协议的代理服务器,由MQTT协议创始人之一的Andy Stanford-Clark开发,它为我们提供了非常棒的轻量级数据交换的解决方案. 本文简单的介绍了关于mosquitto客户端的使用.mosquitto客户端在开发.测试过程中能模拟设备.应用程序,是一款较方便.好用的终端脚本工具. 2.mosquitto工具安装 Linux:yum install mosquitto Window:https://mos…

Ingress 介绍 Kubernetes 上部署的微服务运行在它的私有网络中, 通过Pod实例的hostPort或Service实例的NodePort可以暴露到主机端口上,便于用户访问.但这样的方法会占有多台主机的HTTP端口或一台主机的多个端口,既浪费端口资源又增加管理难度和安全风险. K8S的 Ingress 对象提供了另一种服务暴露的方法,它只占用一台主机的 HTTP 端口,通过虚拟主机或者虚拟目录的方式为K8S上的所有HTTP服务提供暴露服务,还能实现 HTTPS.负载均衡.状态统计等…

Kubernetes集群部署需要安装的组件东西很多,过程复杂,对服务器环境要求很苛刻,最好是能连外网的环境下安装,有些组件还需要连google服务器下载,这一点一般很难满足,因此最好是能提前下载好准备的就尽量下载好. Kubernetes集群部署要求 服务器必须是Centos 7.2及以上 Kubernetes 采用1.12版本 Docker-ce v17.03.2 Etcd 3.2.9 Flanneld v0.7.0-amd64 TLS 认证通信(所有组件,如etcd.kubernetes m…

第一章和第二章中我们配置Prometheus的成本非常高,而且也非常麻烦.但是我们要考虑Prometheus.AlertManager 这些组件服务本身的高可用的话,成本就更高了,当然我们也完全可以用自定义的方式来实现这些需求,我们也知道 Promethues 在代码上就已经对 Kubernetes 有了原生的支持,可以通过服务发现的形式来自动监控集群,因此我们可以使用另外一种更加高级的方式来部署 Prometheus:Operator 框架. 什么是Operator Operator是由Cor…