使用证书进行 Kubernetes 用户身份验证

Question

我正在玩 Minikube，并创建了一个带有证书的测试用户（mueller）。 他已将证书的 CN 设置为 mueller，并将 O 设置为开发。

这是我的角色：

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
 namespace: development
 name: read-development-pods
rules:
 - apiGroups: [""]
   resources: ["pods"]
   verbs: ["get", "list", "watch"]

和我的角色绑定：

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
 name: read-development-pods-rb
 namespace: development
subjects:
- kind: User
  name: mueller
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: read-development-pods
  apiGroup: rbac.authorization.k8s.io

我也将我的证书设置为 kubeconfig。 规则运行良好。

现在我的问题是，我可以摆脱角色绑定吗，因为为每个用户设置角色绑定不是很舒服，我想我在某处读到 Kubernetes 能够使用用户证书的 O 字段自动绑定到角色写在那个领域。

Answer 1

每当您在 Kubernetes API 中的 K8s 身份验证策略之一中成功确认实体对象时，典型的请求可能包含一些属性属性，这些属性定义了如何通过特定模块之一对集群访问者进行授权的方式。

根据 Kubernetes 官方文档：

从 Kubernetes 1.4 开始，客户端证书还可以使用证书的组织字段指示用户的组成员身份。 要为用户包含多个组成员身份，请在证书中包含多个组织字段。

例如，使用 openssl 命令行工具生成证书签名请求：

openssl req -new -key jbeda.pem -out jbeda-csr.pem -subj "/CN=jbeda/O=app1/O=app2"