OpenStack Day Korea 2017 에서 발표한 자료

kubernetes 의 Authentication 과 Authorization 활용

[ Authentication ]

• client-ca-file 로 접속
• static password file 사용
• static token file 사용
• OpenStack Keystone 사용

static password 도 잘됨, 그러나 Authorization 을 연동해 보지는 않았음.

OpenStack Keystone 연계는 아직 알파버전이고 수정이 자주 일어나서 아직 소스까지 볼 단계는 아니라 생략.

static token 방식은 Authorization 과도 잘 연동되므로 이걸 활용

## uuid generate

$ cat /proc/sys/kernel/random/uuid

## {{uuid}} 는 위에서 제너레이션 된 값으로 대치

$ sudo vi /etc/default/kube-token

{{uuid}},admin,1

{{uuid}},ahnsk,2,"tfabric,group1"

{{uuid}},stack,3,tfabric

## api 서버에 token file 옵션 추가

$ sudo chown stack.root /etc/default/kube-token

--token-auth-file=/etc/default/kube-token \

$ sudo systemctl restart kube-apiserver.service

$ kubectl -s https://kube-master01:6443 --token={{uuid}} get node

[ Authorization ]

• ABAC Mode
• RBAC Mode

kube-system 이 kube-apiserver 에 접근하기 위해서는 1라인이 반드시 있어야 함

$ sudo vi /etc/default/kube-apiserver

--authorization-mode=ABAC \

--authorization-policy-file=/etc/default/kube-rbac.json \

$ sudo systemctl restart kube-apiserver.service

$ cd ~/kube

$ vi busybox-tfabric.yaml

apiVersion: v1

kind: Pod

metadata:

  name: busybox

  namespace: tfabric

spec:

  containers:

  - image: gcr.io/google_containers/busybox

    command:

      - sleep

      - "3600"

    imagePullPolicy: IfNotPresent

    name: busybox

  restartPolicy: Always

$ kubectl -s https://kube-master01:6443 --token={{uuid}} --v=8 version

token 지정을 매번 하기 귀찮으니 config context 를 활용하는 것이 좋음.

이건 다음에....

## https://www.kernel.org/doc/Documentation/scheduler/sched-bwc.txt

## ansbile 스크립트 만들 때 참고 명령어

## 변수 보기