k8s的认证: 与API server通信的客户端大致有两类:  1.集群客户端工具(kubectl.kubeadm.kubelet等)  2.集群内pod. 任何客户端访问k8s时的过程:  1.认证:任何客户端访问k8s,首先需要通过k8s的认证:认证通过是说明所用账号只是k8s的合法用户:  2.授权:认证通过后,是否具有对k8s集群中资源的操作,需要k8s对其进行授权检查:  3.准入控制:授权检查通过后,并不能说明你的操作都在我们指定的操作范围内:进一步补充授权.认证:k8s中常见的认

k8s informer概述 我们都知道可以使用k8s的Clientset来获取所有的原生资源对象,那么怎么能持续的获取集群的所有资源对象,或监听集群的资源对象数据的变化呢?这里不需要轮询去不断执行List操作,而是调用Watch接口,即可监听资源对象的变化,当资源对象发生变化,客户端即可通过Watch接口收到资源对象的变化. Watch接口虽然可以直接使用,但一般情况下很少直接使用,因为往往由于集群中的资源较多,我们需要自己在客户端去维护一套缓存,而这个维护成本比较大. 也是因为如此,clie

原文:https://ryan4yin.space/posts/expirence-of-vault/ Vault 是 hashicorp 推出的 secrets 管理.加密即服务与权限管理工具.它的功能简介如下: secrets 管理:支持保存各种自定义信息.自动生成各类密钥,vault 自动生成的密钥还能自动轮转(rotate) 认证方式:支持接入各大云厂商的账号权限体系(比如阿里云RAM子账号体系)或者 LDAP 等进行身份验证,不需要创建额外的账号体系. 权限管理:通过 policy,可

kubernetes的介绍: kubernetes是谷歌在2014年6月的一个开源集群项目,使用go语言开发,因为除了ks后只有8个字母又被称为k8s. k8s的主要作用: 自动化部署 扩展容器的管理提供资源的调度服务的管理发现扩容和监控 kubernetes的主要功能:数据卷:pod中容器之间共享数据,可以使用数据卷 应用程序健康检查:容器内服务可能进程堵塞无法处理请求,可以设置监控检查策略保证应用健康 复制应用程序实例:控制器维护着pod副本数 弹性伸缩:根据设定的指标自动缩放pod副本数

Knative 主要由 Build.Serving 和 Eventing 三大核心组件构成.Knative 正是依靠这三个核心组件,驱动着 Knative 这艘 Serverless 巨轮前行.下面让我们来分别介绍一下这三个核心组件. Build Knative Build 是基于现有的 Kubernetes 能力之上,提供的一套标准化.可移植.可复用的容器镜像构建方式.通过在 Kubernetes 上运行复杂的构建任务,Knative Build 使你不必再单独开发和重复这些镜像构建过程, 从

一.概述 本次部署 Kubernetes 集群是通过 kubeadm 工具来进行部署, kubeadm 是 Kubernetes 官⽅提供的⽤于快速部署 Kubernetes 集群的⼯具,利⽤其来部署 Kubernetes 集群操作起来非常简便. 废话多说了,反正也是摘自网上,开始操作吧. 二.环境说明 本次部署的环境一共使用四台机器,一台作为 HarBor 容器镜像仓库,另外三台作为 Kubernetes 集群,采用一主两从的一个方式,具体架构如下图. 版本说明: 操作系统:CentOS -7

云原生的概念最近非常火爆,企业落地云原生的愿望也越发强烈.看过很多关于云原生的文章,要么云山雾罩,要么曲高和寡. 所以笔者就有了写<大话云原生>系列文章的想法,期望用最通俗.简单的语言说明白云原生生态系统内的组成及应用关系.那么,开始吧,这是第一篇! 这真的是一篇讲架构技术的文章,不是小说!建议您看下去! 一.周末煮饺子聊到容器问题 周末和老婆一起包了顿饺子,"老公,我去买瓶醋,你把饺子先煮一下吧".我笨手笨脚准备半天,还没煮完,老婆就回来了.我看着这一锅饺子问道:&quo

导读 上一篇说了k8s的RBAC授权模式,今天就来简单看一下其中涉及到的ServiceAccount. 简介 k8s创建两套独立的账号系统,原因如下: (1)User账号给用户用,Service Account是给Pod里的进程使用的,面向的对象不同 (2)User账号是全局性的,Service Account则属于某个具体的Namespace (3)User账号是与后端的用户数据库同步的,创建一个新用户通常要走一套复杂的业务流程才能实现,Service Account的创建则需要极轻量级的实现

1.概述 用kubectl向apiserver发起的命令,采用的是http方式,K8s支持多版本并存. kubectl的认证信息存储在~/.kube/config,所以用curl无法直接获取apis中的信息,可以采用代理方式 kubectl proxy --port=8080 # HTTP request action,如get,post,put,delete, # 这些action映射到k8s中,有:get,list,create,udate,patch,watch,proxy,redirec

k8s.gcr.io/pause的作用 https://blog.51cto.com/liuzhengwei521/2422120 weilovepan520关注0人评论196人阅读2019-07-21 11:35:05   重要概念:Pod内的容器都是平等的关系,共享Network Namespace.共享文件 pause容器的最主要的作用:创建共享的网络名称空间,以便于其它容器以平等的关系加入此网络名称空间 pause进程是pod中所有容器的父进程(即第一个进程): 关于 Pod 最重要的一

http://blog.itpub.net/28916011/viewspace-2215100/ 对作者文章有点改动 注意kubeadm创建的k8s集群里面的认证key是有有效期的,这是一个大坑!!!!!! 目前RBAC是k8s授权方式最常用的一种方式. 在k8s上,一个客户端向apiserver发起请求,需要如下信息: 1)username,uid, 2) group, 3) extra(额外信息) 4) API 5) request path,例如:http://127.0.0.1:808

概述 在容器的部署过程中,有的时候需要在容器运行之前进行一些预配置的工作,比如下载配置,判断某些服务是否启动,修改配置等一些准备的工作,想要实现这些功能,在k8s中可以使用初始化容器,在应用容器运行之前进行一些预处理的工作. 本文档介绍在k8s中初始化容器的使用方法. 使用方法 以下的例子使用初始化容器,在nginx容器启动之前下载一个index.html文件 kubectl apply -f - <<EOF apiVersion: v1 kind: Pod metadata: name: i

ServiceAccount ServiceAccount是给运行在Pod的程序使用的身份认证,Pod容器的进程需要访问API Server时用的就是ServiceAccount账户. ServiceAccount仅局限它所在的namespace,每个namespace创建时都会自动创建一个default service account. 创建Pod时,如果没有指定Service Account,Pod则会使用default Service Account. 通过以下命令可以查看我们前面创建ch

.创建secret 使用命令行: kubectl create secret docker-registry harbortest --namespace=default\ --docker-server=10.142.21.113 --docker-username=cm-test\ --docker-password=123 --docker-email=chenmiao@cmss.chinamobile.com 注意: 此处关键信息为标红,用户信息为对应haobor中创建的用户信息. .查

https://stackoverflow.com/questions/54354243/kubernetes-secret-is-persisting-through-deletes

中文文档:https://www.kubernetes.org.cn/kubernetes%E8%AE%BE%E8%AE%A1%E6%9E%B6%E6%9E%84 小结大白话 Portainer 挺好的,可以GUI管理集群.可以把很多机器(节点)加到 endpoint 中做集群管理: kubectl run和docker run一样,它能将一个镜像运行起来,我们使用kubectl run来将一个sonarqube的镜像启动起来. 简介 k8s是一个编排容器的工具,其实也是管理应用的全生命周期的一

在k8s中,所有的配置都是 json格式的.但为了读写方便,通常将这些配置写成yaml 格式,其运行的时候,还是会靠yaml引擎将其转化为json,apiserver 也仅接受json的数据类型. yaml 结构主要有字典与数组两种结构: 1.字典类型,其中有普通字典与多层嵌套字典,字典的键值使用 : 标识. 普通字典: apiVersion: v1, 此时 apiVersion 为key, v1 为value. 多层嵌套字典: metadata: labels: k8s-app: kubern

参考链接:https://github.com/opsnull/follow-me-install-kubernetes-cluster kubernetes 概述 1.kubernetes 是什么 Google2014年推出的容器集群管理系统 k8s用于容器化应用程序的部署.扩展和管理 k8s提供了容器编排.资源调度.弹性伸缩.部署管理.服务发现等一系列功能 k8s的目标是让部署容器化应用简单高效 总结:可以理解成一个容器平台.微服务平台(非常适合微服务架构).便携式云平台 2.keberne

在开始介绍k8s持久化存储前,我们有必要了解一下k8s的emptydir和hostpath.configmap以及secret的机制和用途. 0x00 Emptydir EmptyDir是一个空目录,他的生命周期和所属的 Pod 是完全一致的,EmptyDir主要作用可以在同一 Pod 内的不同容器之间共享工作过程中产生的文件.如果Pod配置了emptyDir类型Volume, Pod 被分配到Node上时候,会创建emptyDir,只要Pod运行在Node上,emptyDir都会存在(容器挂掉

参考:https://www.cnblogs.com/breezey/p/6582082.html 我们知道,在几乎所有的应用开发中,都会涉及到配置文件的变更,比如说在web的程序中,需要连接数据库,缓存甚至是队列等等.而我们的一个应用程序从写第一行代码开始,要经历开发环境.测试环境.预发布环境只到最终的线上环境.而每一个环境都要定义其独立的各种配置.如果我们不能很好的管理这些配置文件,你的运维工作将顿时变的无比的繁琐.为此业内的一些大公司专门开发了自己的一套配置管理中心,如360的Qcon,百

一.Kubernetes系列之介绍篇   •Kubernetes介绍 1.背景介绍 云计算飞速发展 - IaaS - PaaS - SaaS Docker技术突飞猛进 - 一次构建,到处运行 - 容器的快速轻量 - 完整的生态环境 2.什么是kubernetes 首先,他是一个全新的基于容器技术的分布式架构领先方案.Kubernetes(k8s)是Google开源的容器集群管理系统(谷歌内部:Borg).在Docker技术的基础上,为容器化的应用提供部署运行.资源调度.服务发现和动态伸缩等一系列