Kubernetes 作为一个分布式集群的管理工具，保证集群的安全性是其一个重要的任务。API Server 是集群内部各个组件通信的中介，也是外部控制的入口。所以 Kubernetes 的安全机制基本就是围绕保护 API Server 来设计的，Kubernetes 使用了认证（Authentication）、鉴权（Authorization）、准入控制（AdmissionControl）三步来保证API Server的安全 。
生产环境使用k8s-1.5版本并且使用kubeadm直接安装后，出现证书一年到期，整个集群无法使用的情况。
Kubernetes 作为一个分布式集群的管理工具，保证集群的安全性是其一个重要的任务。API Server 是集群内部 各个组件通信的中介，也是外部控制的入口。所以 Kubernetes 的安全机制基本就是围绕保护 API Server 来设计 的。Kubernetes 使用了认证（Authentication）、鉴权（Authorization）、准入控制（Admission Control）三步来保证API Server的安全.
在开启了 TLS 的集群中，每当与集群交互的时候少不了的是身份认证，使用 kubeconfig（即证书） 和 token 两种认证方式是最简单也最通用的认证方式。
版权声明：欢迎转载，请注明出处，谢谢。 https://blog.csdn.net/boling_cavalry/article/details/83692428
【导读】今日是周六，本想午休起来之后写篇有关kubernetes service的文章，没想到两台虚拟机接连挂掉，所以又重新创建了两台虚拟机。新建时又一直黑屏，所以只能克隆。
众所周知 TLS 的作用就是对通讯加密，防止中间人窃听；同时如果证书不信任的话根本就无法与 apiserver建立连接，更不用提有没有权限向 apiserver 请求指定内容。在开启了 TLS 的集群中，每当与集群交互的时候少不了的是身份认证，使用 kubeconfig（即证书） 和 token 两种认证方式是最简单也最通用的认证方式。
kubectl默认会从$HOME/.kube目录下查找文件名为 config 的文件，也能通过设置环境变量 KUBECONFIG 或者通过设置去指定其它 kubeconfig 文件。kubeconfig就是为访问集群所作的配置。
Pod 在滚动升级部署中部署pod个数到可用指标更新速率 是衡量 Kubenetes 调度能力最核心指标
在上一篇文章里我们主要介绍master组件kube-scheduler的安装，这里我们开始介绍安装worker组件kubelet，我们采用下载二进制binary制作linux systemd的方式安装。这个组件也在下载的kubenetes包里(1.15.1版本)，在以前文章里已经下载过(要科学上网或者搭个梯子)，这里就不再重复。另外kubelet与kube-apiserver交互我们开启ssl，所以请提前制作好相关ssl证书(可以参考以前文章里制作docker的证书)，并copy到配置目录里。
Kubernetes 源自于 Google 内部的服务编排系统 - Borg，诞生于2014年。它汲取了Google 十五年生产环境的经验积累，并融合了社区优秀的idea和实践经验。
by Sven Augustus https://my.oschina.net/langxSpirit
1.执行kubeadm config view > kubeadm.yaml会在当前目录生成一个kubeadm.yaml文件。
Kubernetes需要PKI证书才能通过TLS进行身份验证。如果使用kubeadm安装Kubernetes，则会自动生成集群所需的证书。还可以生成自己的证书，例如，通过不将私钥存储在API服务器上来保持私钥更安全。 当然，我们目前是在手动安装嘛。
KubeSphere是一个分布式操作系统，提供以Kubernetes为核心的云原生堆栈，旨在成为第三方应用程序的即插即用架构，以促进其生态系统的发展。 KubeSphere还是一个多租户企业级容器平台，具有全栈自动IT操作和简化的DevOps工作流程。它提供了开发人员友好的向导Web UI，可帮助企业构建更健壮且功能丰富的平台，其中包括企业Kubernetes战略所需的最常用功能，例如Kubernetes资源管理，DevOps（CI / CD），应用程序生命周期管理、监控、日志记录、服务网格、多租户、报警和通知,存储和网络、自动定量、访问控制、GPU的支持等，以及多集群管理、网络策略、注册表管理，更多即将发布的安全增强特性。
(https://kubernetes.io/zh-cn/docs/reference/access-authn-authz/bootstrap-tokens/)
在 Kubernetes 项目中，cmd/kubeadm/app/phases 目录中的文件是用于实现 kubeadm 工具的不同阶段的逻辑。kubeadm 是一个命令行工具，用于在 Kubernetes 集群中初始化和管理主节点（control plane）。
背景 本文翻译整理自rhino安全实验室：近些年针对kubernetes的攻击呈现愈演愈烈之势，一旦攻击者在kubernetes集群中站稳脚跟就会尝试渗透集群涉及的所有容器，尤其是针对访问控制和隔离做的不够好的集群受到的损害也会越大。例如由unit 42研究人员检测到的TeamTNT组织的恶意软件Siloscape就是利用了泄露的AWS凭证或错误配置从而获得了kubelet初始访问权限后批量部署挖矿木马或窃取关键信息如用户名和密码，组织机密和内部文件，甚至控制集群中托管的整个数据库从而发起勒索攻击。根据微
kubeadm join 116.196.83.113:6443 --token dm73l2.y68gl7lwq18kpuss --discovery-token-ca-cert-hash sha256:5139a172cd23276b70ec964795a6833c11e104c4b5c212aeb7fca23a3027914f
首先是觉得在 Service 文件里面引用环境变量的方式似乎没有什么特别的好处。因此丢弃了环境变量文件，直接把参数写入了 Service 文件。
本文在以下主机上操作部署k8s node k8s-node1：192.168.206.41 k8s-node2：192.168.206.42 k8s-node3：192.168.206.43
Kubernetes集群中主要存在两种类型的节点：master、minion节点。
在学习k8s工作流程之前，我们得再次认识一下上篇k8s架构与组件详解中提到的kube-controller-manager一个k8s中许多控制器的进程的集合。
在 Kubernetes 中，kubelet 是运行在每个节点上的主要组件之一，它负责管理节点上的容器，并与 Kubernetes 控制平面交互以确保容器在集群中按照期望的方式运行。kubelet 的代码位于 Kubernetes 代码库的 pkg/kubelet 目录下。
在Kubernetes项目中，cmd/kubeadm目录下的代码是用于构建和管理Kubernetes集群的工具。kubeadm是一个命令行工具，提供了一种简化的方式来初始化、配置和升级Kubernetes集群。
K8S集群证书过期后，会导无法创建Pod，通过kubectl get nodes也无法获取信息，甚至dashboard也无法访问。
相信使用二进制部署过 k8s 集群的同学们都知道，二进制部署集群太困难了，有点基础的人部署起来还有成功的希望，要不然只能跟着别人的教程一步一步的去部署，部署的时候完全不知道这样操作的意义是啥？出问题了无从下手解决。对于初学者来说真的是浪费生命，那有没有什么简单的方式来部署集群呢？这个问题在前几年可能没有很好的答案，但是在现在，答案简直太多了，比如 kubeadm，rke 等方式，我们今天就来介绍下 kubeadm 部署集群的工作原理。
cmd/kubeadm/app/phases/kubelet/config.go文件是Kubernetes项目中的kubeadm命令的一个子命令kubelet的配置阶段的实现。它负责为kubelet配置生成和写入相关文件，同时创建ConfigMap和RBAC规则以供kubelet在集群中使用。
描述: Kubernetes 作为一个分布式的集群管理工具，保证集群的安全性是非常至关重要的。同时由于API Server是集群内部各个组件通信的中介，也是外部控制的入口，所以Kubernetes的安全机制基本是就是围绕保护API Server 来进行设计的;
主要参考 https://github.com/opsnull/follow-me-install-kubernetes-cluster
版权声明：欢迎转载，请注明出处，谢谢。 https://blog.csdn.net/boling_cavalry/article/details/83715479
创建 CA 证书和秘钥 kubernetes 系统各组件需要使用 TLS 证书对通信进行加密，本文档使用 CloudFlare 的 PKI 工具集 cfssl 来生成 Certificate Authority (CA) 证书和秘钥文件，CA 是自签名的证书，用来签名后续创建的其它 TLS 证书。 以下操作都在 master 节点即 192.168.161.161 上执行，证书只需要创建一次即可，以后在向集群中添加新节点时只要将 /etc/kubernetes/ 目录下的证书拷贝到新节点上即可 安装 CFS
以下操作都在 master 节点即 192.168.161.161 上执行，证书只需要创建一次即可，以后在向集群中添加新节点时只要将 /etc/kubernetes/ 目录下的证书拷贝到新节点上即可
在上一篇文章里我们主要介绍worker组件kubelet的安装，这里我们开始介绍安装另一个worker组件kube-proxy，这里我们采用下载二进制binary制作linux systemd的方式安装。这个组件也在下载的kubenetes包里(1.15.1版本)，在以前文章里已经下载过(要科学上网或者搭个梯子)，这里就不再重复。另外kube-proxy与kube-apiserver交互我们开启ssl，所以请提前制作好相关ssl证书(可以参考以前文章里制作docker的证书)，并copy到配置目录里。
Kubenetes 的 Scheduler 的作用主要是将等待被调度的 Pod 按照特定的调度算法那和带哦度策略绑定到集群中合适的 Node 上，这个绑定的动作在 K8S 里称为 Bind。
kubernetes 源码编译，分为本地二进制可执行文件编译和 docker 镜像编译两种， 之前演示的 minikube 方式或 kubeadm 方式安装，都是基于第二种 docker 镜像方式运行，当然也可以基于二进制文件方式安装，不管哪种方式，都是直接使用并不需要修改任何 k8s 代码。
kubernetes是目前最炙手火热的容器管理、调度、编排平台，不仅拥有全面的生态系统，而且还开源、开放自治，谁贡献的多，谁的话语权就大，云提供商都有专门的工程师来从事kubernetes开源项目，其软件的升级迭代非常快，今天我们就来谈谈如何使用kubeadm平滑地升级kubenetes集群到v1.10.3。
目前有三种安装方式 第一种是yum安装 使用yum安装，好处是简单，缺点就是要获取最新版需要跟你学yum源，而且所有软件的依赖又不能自己指定，尤其是系统版本比较，使用yum源安装的kubernetes的版本也会受到限制。
面向边缘的轻量级K8S发行版k3s于去年2月底发布后，备受关注，在发布后的10个月时间里，Github Star达11,000颗。于去年11月中旬已经GA。但正如你所知，没有一个产品是十全十美的，k3s在客户落地实践的过程中也暴露过一些不足。在k3s技术团队的专业技术支持下，许多问题得到了改善和解决。
而要使用容器把后者运行起来，单通过Docker把一个Cassandra镜像run是没用的。
Kubernetes系统的各个组件需要使用TLS证书对其通信加密以及授权认证，建议在部署之前先生成相关的TLS证书。
在一个安全的内网环境中, Kubernetes的各个组件与Master之间可以通过apiserver的非安全端口http://apiserver:8080进行访问。但如果apiserver需要对外提供服务,或者集群中的某些容器也需要访问apiserver以获取集群中的某些信息,则更安全的做法是启用HTTPS安全机制。Kubernetes提供了基于CA签名的双向数字证书认证方式和简单的基于HTTP BASE或TOKEN的认证方式,其中CA证书方式的安全性最高。本节先介绍以CA证书的方式配置Kubernetes集群,要求Master上的kube-apiserver.kube-controller-manager. kube-scheduler进程及各Node上的kubelet, kube-proxy进程进行CA签名双向数字证书安全设置
本文在以下主机上操作部署k8s集群 k8s-master1：192.168.206.31 k8s-master2：192.168.206.32 k8s-master3：192.168.206.33
作者简介：蒋暕青 什么是ZUN？ Zun是Openstack中提供容器管理服务的组件，于2016年6月建立。Zun的目标是提供统一的Openstack API用于启动和管理容器，支持多种容器技术。Zun原来称为Higgins，后改名为Zun。Zun计划支持多种容器技术，Docker，Rkt，clear container等，目前只支持Docker。OpenStack Queens版本发布，由于容器社区的火热，一项值得关注的补充则为“Zun”，它在OpenStack项目中负责提供容器服务，旨在通过与Neu
笔者最近在研究容器安全时读到一本关于讲述Kubernetes安全的书籍，作者为LizRice和Michael Hausenbla，两位分别来自美国容器安全厂商Aqua和云服务厂商AWS，并在容器安全研究领域上拥有丰富的软件开发，团队和产品管理经验。
在 node 节点上，kubelet 是需要对外提供服务的。在 k8s 中，调用 kubelet 服务的也只有 kube-apiserver。
Kubernetes 控制器管理器是一个守护进程，内嵌随 Kubernetes 一起发布的核心控制回路。在机器人和自动化的应用中，控制回路是一个永不休止的循环，用于调节系统状态。在 Kubernetes 中，每个控制器是一个控制回路，通过 API 服务器监视集群的共享状态， 并尝试进行更改以将当前状态转为期望状态。目前，Kubernetes 自带的控制器例子包括副本控制器、节点控制器、命名空间控制器和服务账号控制器等。
昨天网络环境出了点问题，本地的虚拟机搭建的 Kubernetes 环境没有固定 IP，结果节点 IP 变了，当然最简单的方式是将节点重新固定回之前的 IP 地址，但是自己头铁想去修改下集群的 IP 地址，结果一路下来踩了好多坑，压根就没那么简单~
目前kubernetes 已经发展到1.5的时代，但在这之前学习和使用kubernetes还是走了不少弯路，第一个问题就是安装，也许你会说安装很简单。照着官网或网上抄一篇就可以装上了…… 而我们使用k
领取专属 10元无门槛券
手把手带您无忧上云
