Kubernetes 内部的安全配置

命名空间

本项目中提供的大多数组件都需要知道命名空间。对于 Kubernetes (1.3+)，命名空间作为服务帐户密钥的一部分提供给 Pod，并由客户端自动检测。对于早期版本，需要将其指定为 Pod 的环境变量。一个快速的方法如下所示

      env:
      - name: "KUBERNETES_NAMESPACE"
        valueFrom:
          fieldRef:
            fieldPath: "metadata.namespace"

服务帐户

对于支持在集群内进行更细粒度基于角色的访问的 Kubernetes 发行版，您需要确保使用spring-cloud-kubernetes运行的 Pod 能够访问 Kubernetes API。对于分配给部署或 Pod 的任何服务帐户，您需要确保它们具有正确的角色。

根据需求，您将需要对以下资源具有get、list和watch权限

表 1. Kubernetes 资源权限
依赖	资源
spring-cloud-starter-kubernetes-fabric8	pods、services、endpoints
spring-cloud-starter-kubernetes-fabric8-config	configmaps、secrets
spring-cloud-starter-kubernetes-client	pods、services、endpoints
spring-cloud-starter-kubernetes-client-config	configmaps、secrets

出于开发目的，您可以向您的default服务帐户添加cluster-reader权限。在生产系统上，您可能需要提供更细粒度的权限。

以下角色和角色绑定是针对default帐户的命名空间权限示例

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: YOUR-NAME-SPACE
  name: namespace-reader
rules:
  - apiGroups: [""]
    resources: ["configmaps", "pods", "services", "endpoints", "secrets"]
    verbs: ["get", "list", "watch"]

---

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: namespace-reader-binding
  namespace: YOUR-NAME-SPACE
subjects:
- kind: ServiceAccount
  name: default
  apiGroup: ""
roleRef:
  kind: Role
  name: namespace-reader
  apiGroup: ""