海外云服务器K8s集群：API Server认证授权配置教程

在海外云服务器搭建Kubernetes（K8s）集群时，API Server的认证授权配置是保障集群安全的核心环节。它像一道智能门禁，确保只有合法用户和组件能与API Server交互，避免未授权操作导致的数据泄露或集群崩溃。接下来我们一步步拆解具体配置方法。

认证配置：给API Server装把"智能锁"

K8s API Server支持多种认证方式，实际部署中最常用的是客户端证书认证和令牌认证，两种方式各有适用场景。

客户端证书认证：双向加密的"身份卡"

在海外云服务器K8s集群里，客户端证书认证凭借高安全性成为企业级部署的首选。操作分三步：首先生成CA（证书颁发机构）证书，这相当于集群的"根信任源"。用OpenSSL命令生成CA密钥和证书：

openssl genrsa -out ca.key 2048
openssl req -x509 -new -nodes -key ca.key -days 10000 -out ca.crt -subj "/CN=kube-ca"

接着为客户端生成专属证书。这里要注意，客户端证书需用CA签名才能被集群信任：

openssl genrsa -out client.key 2048
openssl req -new -key client.key -out client.csr -subj "/CN=kube-client"
openssl x509 -req -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt -days 365

最后在API Server启动参数中绑定CA证书，相当于告诉集群"只认这个CA发的卡"：

--client-ca-file=/path/to/ca.crt

令牌认证：临时通行的"电子门卡"

如果需要快速为临时用户分配权限，令牌认证更灵活。创建一个token.csv文件，格式为"令牌,用户名,用户ID"，例如：

abcdef123456,alice,123

然后在API Server启动参数中指定令牌文件路径：

--token-auth-file=/path/to/token.csv

这种方式适合需要频繁变更权限的测试环境，但要注意定期轮换令牌，避免泄露风险。

授权配置：给权限划"清晰边界"

认证解决了"你是谁"的问题，授权则要回答"你能做什么"。K8s提供多种授权模式，企业场景中RBAC（基于角色的访问控制）因灵活的权限管理能力应用最广。

启用RBAC：打开权限管理开关

在API Server启动参数中添加配置启用RBAC：

--authorization-mode=RBAC

这一步相当于激活集群的"权限管理员"功能，后续所有权限操作都将基于RBAC规则执行。

创建角色与绑定：定制化权限分配

以"允许用户alice查看default命名空间下的Pod"为例，分两步操作：
1. 创建角色定义文件（pod-reader-role.yaml），明确允许的操作范围：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "watch", "list"]

执行命令创建角色：

kubectl create -f pod-reader-role.yaml

2. 创建角色绑定文件（pod-reader-role-binding.yaml），将角色与用户关联：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: pod-reader-binding
  namespace: default
subjects:
- kind: User
  name: alice
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

执行命令完成绑定：

kubectl create -f pod-reader-role-binding.yaml

验证配置：确保门禁系统正常工作

配置完成后必须验证效果。使用客户端证书认证的用户，可用以下命令测试Pod查看权限：

kubectl --client-certificate=/path/to/client.crt --client-key=/path/to/client.key get pods

若返回Pod列表则说明认证授权生效；若提示"未授权"，需检查证书路径或RBAC规则是否配置错误。

通过这套组合配置，海外云服务器K8s集群的API Server能构建起多层安全防护。实际部署中可根据业务需求混合使用认证方式——比如核心组件用客户端证书，临时用户用令牌；授权规则则建议遵循"最小权限原则"，避免过度开放权限带来的安全隐患。