nginx - 通过Nginx代理访问Kubernetes仪表板

Question

我想在本地Kubernetes安装上访问我的仪表板(使用docker for mac)。我被“封锁”了。自RBAC更新以来，我必须提供正常的 token 或配置。

现在，我不想每次访问仪表板时都使用kubectl proxy或启用port forwarding，因此我安装了带有入口(tls)的nginx代理，该代理将我重定向到https://kubernetes-dashboard.kube-system.svc.cluster.local:443。

这可以正常工作，但是现在我有点困惑，因为我现在可以看到仪表板，而不会遇到RBAC问题。

我读了这个here:

To make Dashboard use authorization header you simply need to pass Authorization: Bearer in every request to Dashboard. This can be achieved i.e. by configuring reverse proxy in front of Dashboard. Proxy will be responsible for authentication with identity provider and will pass generated token in request header to Dashboard. Note that Kubernetes API server needs to be configured properly to accept these tokens.

但是对我来说还不是很清楚。有人可以解释一下为什么我在仪表盘前面创建代理时可以看到仪表盘吗？

Answer 1

通常需要代理来在网络的不同部分之间传输数据而无需直接连接它们。
网络的每个网段都在与代理主机“对话”，而无需知道其他网络网段的存在。

代理服务器负责有关请求和响应数据包的所有协商和操作。因此，要启用身份验证，授权，SSL终止和许多其他功能，您需要根据需要配置代理服务器。

如果您可以通过代理前面看到kubernetes仪表板，则仅表示您未在该代理上配置任何安全性。

例如，要了解如何配置Nginx Ingress以通过集群中的基本身份验证来保护服务，请考虑阅读此article。

有关更复杂的安全设置，请阅读有关securing Kubernetes services with Ingress, TLS and LetsEncrypt的文章。