kubernetes - 了解Kubernetes用户

Question

我在尝试了解Kubernetes身份验证模型时遇到了麻烦，特别是“用户”是什么。

假设我在kubernetes集群中的计算机上。我想使用kubectl向API服务器发送请求。

所以:
-我需要从api服务器HTTPS端口获取公钥。因此，我们假设提供给我。
-然后，在我的要求下，是否需要填写“用户”字段？

根据文档的此部分，用户字段是一种方法:https://kubernetes.io/docs/admin/authentication/#authentication-strategies

但是在https://kubernetes.io/docs/admin/accessing-the-api/#authorization上，我们读到kubernetes实际上没有用户的概念。

所以:

我什至在哪里输入用户字段？

如果由于我控制了客户端请求的内容，是否不能仅在此处输入任何用户名？我能不能反复尝试猜测任何用户名，直到找到具有所需授权的用户名？

谢谢。

Answer 1

we read that actually kubernetes has no concept of a user.

不完全是……“它没有用户对象，也没有在其对象库中存储用户名或其他有关用户的信息。”

例如，如果您提供了客户端证书，则kubernetes会验证证书上的签名，然后从证书主题中提取您的身份。

如果您提供了OpenID Connect承载 token ，则kubernetes会验证 token 上的签名，并从已签名的 token 中提取您的用户名和组成员身份。

kubernetes服务器还可以使用其他方法来验证您的凭据(webhook调用，通过身份验证代理传递您的请求等)

What/where do I even put in the user field?

在kubectl使用的kubeconfig文件中，它存储有关将要联系的服务器以及要提供的用户凭据的信息。您可以提供客户端x509证书，承载 token 或基本auth用户名/密码。选择哪种方式取决于服务器中配置的身份验证方法。

https://kubernetes.io/docs/tasks/access-application-cluster/configure-access-multiple-clusters/#define-clusters-users-and-contexts很好地介绍了设置kubeconfig文件的过程。您可以使用选择的名称(仅供本地引用)和要发送到服务器的凭据来定义用户节。您在本地选择的名称与服务器无关，它仅关注您指定的凭据。