如何在Kubernetes(k8s)中配置API Server的身份验证？

在k8s中配置API Server认证主要有几种方式：1. 用客户端证书，比如在启动参数加--client-ca-file指向CA证书；2. 用静态Token文件，创建csv文件然后通过--token-auth-file加载；3. ServiceAccount自动生成JWT令牌，Pod里会自动挂载。日常最常用的是证书认证，比如kubectl默认就用~/.kube/config里的证书，修改apiserver的manifest文件加认证参数后记得重启服务嗷！

在Kubernetes中配置API Server身份验证需结合多种机制确保安全访问。核心步骤如下：1）启用X.509证书认证：通过--client-ca-file参数指定CA证书，客户端需提供由该CA签名的证书；2）静态令牌文件：使用--token-auth-file定义预生成令牌，适用于临时调试但需注意安全风险；3）ServiceAccount自动注入：系统为Pod自动生成JWT令牌，需配合RBAC控制权限；4）集成OpenID Connect：通过--oidc-*参数对接企业身份提供商（如Keycloak），实现OAuth2.0流程；5）Webhook模式：通过--authentication-token-webhook-config-file对接外部认证服务。生产环境建议组合证书认证与OIDC，静态令牌仅用于测试。所有配置需通过修改kube-apiserver.yaml并重启生效，同时严格限制匿名访问（--anonymous-auth=false）。

在Kubernetes中配置API Server身份验证的常用方案如下：

1. 静态令牌文件认证

   • 创建令牌文件：echo 'token1,user1,group1' > /etc/kubernetes/tokens.csv
   • 修改API Server配置：在/etc/kubernetes/manifests/kube-apiserver.yaml中添加参数

     - --token-auth-file=/etc/kubernetes/tokens.csv

   • 重启kubelet：systemctl restart kubelet

2. X.509客户端证书认证

   • 生成CA证书：openssl genrsa -out ca.key 2048
   • 生成客户端证书：

     openssl req -new -key user1.key -out user1.csr -subj "/CN=user1/O=group1"
     openssl x509 -req -in user1.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out user1.crt -days 365

   • 配置API Server启用证书认证（默认已启用）

3. Service Account Token认证

   • 创建Service Account：kubectl create serviceaccount my-sa
   • 自动生成Secret并绑定Token
   • 通过以下命令获取Token：

     kubectl get secret $(kubectl get sa my-sa -o jsonpath='{.secrets[0].name}') -o jsonpath='{.data.token}' | base64 --decode

4. 验证配置

   • 使用curl测试认证：

     curl https://<API_SERVER_IP>:6443/api --header "Authorization: Bearer <TOKEN>" --insecure

   • 配置kubeconfig文件：

     kubectl config set-credentials user1 --client-certificate=user1.crt --client-key=user1.key

注意：生产环境推荐使用X.509证书认证或集成OIDC/LDAP，需配合RBAC授权使用。静态令牌文件适用于测试环境，应及时轮换密钥。

在Kubernetes中配置API Server身份验证可通过多种方式实现，例如X.509证书、Bearer Token或Service Account。需在kube-apiserver启动参数中指定认证方式（如--client-ca-file=CA证书路径启用证书认证）。

延伸知识点：Service Account Token认证机制。Service Account是Kubernetes中Pod访问API Server的核心身份标识。当创建Service Account时，集群会自动生成一个关联的Secret，其中包含JWT格式的Token。此Token会被挂载到Pod的/var/run/secrets/kubernetes.io/serviceaccount目录。API Server通过--service-account-key-file参数指定公钥文件验证Token合法性。使用时需配合RBAC授权，例如创建RoleBinding将权限绑定到Service Account，确保Pod仅能访问特定API资源。例如，定义Role允许读取Pods资源后，通过kubectl create rolebinding将权限授予Service Account，从而限制其操作范围。