自定义角色使用 web kubectl 和查看 kubeconfig 文件需要如何授权？

wmwm061061

目前想使用 web kubectl 和查看当前用户的 kubeconfig 需要将用户授予为 platform-admin 角色

我尝试过创建一个自定义角色，并授予了所有的权限，仍然无法在Web页面上使用 web kubectl 和查看当前用户的 kubeconfig。

请问想要实现上面的功能，需要如何操作？

hongming

kubectl 目前只针对 platform-admin 开放了，小权限用户使用kubectl 还不太友好，还需要做一些优化。3.1 会新增 serviceaccount 的管理，可以针对性的创建 serviceaccount 并获取 kubeconfig

wmwm061061

hongming

现在的需求是特定用户需要在终端使用 kubectl ，但是授予 platform-admin 角色存在权限过大的问题。

我暂时能想到的方法是为每个用户生成一套证书请求和私钥，然后用集群的 ca 证书来签名。然后用这个已签名的证书来访问 kuberentes 集群。

请教一下，上面的方法是否可行？或者还有其他更好的方法吗？

hongming

wmwm061061 kubesphere已经为每个用户生成了对应的kubeconfig(通过CSR签发的客户端证书)，可以通过API获取

/kapis/resources.kubesphere.io/v1alpha2/users/admin/kubeconfig

kubectl -n kubesphere-controls-system get cm -l  kubesphere.io/username=admin -o jsonpath='{.items[0].data.config}'

DivXPro

hongming
这个如何生产外网可用的kubeconfig,如果自己用命令生产的话该用那对正式。
我看/etc/kubernetes/pki 里有一堆证书
-rw-r--r-- 1 root root 1590 Jan 19 23:44 apiserver.crt -rw------- 1 root root 1679 Jan 19 23:44 apiserver.key -rw-r--r-- 1 root root 1099 Jan 19 23:44 apiserver-kubelet-client.crt -rw------- 1 root root 1675 Jan 19 23:44 apiserver-kubelet-client.key -rw-r--r-- 1 root root 1025 Jan 19 23:44 ca.crt -rw------- 1 root root 1675 Jan 19 23:44 ca.key -rw-r--r-- 1 root root 1038 Jan 19 23:44 front-proxy-ca.crt -rw------- 1 root root 1679 Jan 19 23:44 front-proxy-ca.key -rw-r--r-- 1 root root 1058 Jan 19 23:44 front-proxy-client.crt -rw------- 1 root root 1675 Jan 19 23:44 front-proxy-client.key -rw------- 1 root root 1679 Jan 19 23:44 sa.key -rw------- 1 root root 451 Jan 19 23:44 sa.pub

该用哪个呢？

hongming

DivXPro

可以用 serviceaccount token: https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: ********
    server: https://lb.kubesphere.local:6443
  name: cluster.local
contexts:
- context:
    cluster: cluster.local
    user: kubernetes-admin
  name: kubernetes-admin@cluster.local
current-context: kubernetes-admin@cluster.local
kind: Config
preferences: {}
users:
- name: kubernetes-admin
  user:
    token: ********

2. client 证书可以直接用CA证书去签发，或者使用 K8s 中的 CSR 去签发

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: ********
    server: https://lb.kubesphere.local:6443
  name: cluster.local
contexts:
- context:
    cluster: cluster.local
    user: kubernetes-admin
  name: kubernetes-admin@cluster.local
current-context: kubernetes-admin@cluster.local
kind: Config
preferences: {}
users:
- name: kubernetes-admin
  user:
    client-certificate-data: ********
    client-key-data: ********