Peta dunia

 

EN

Dunia K6: Pengawal

Tiga pintu: authn, authz, admission

Anda akan belajar: tiga semakan yang setiap permintaan kubectl lalui, dan cara bezakan ralatnya.

Teks BM belum disemak oleh penutur asli.

Disemak dengan Kubernetes 1.37 pada 31 Okt 2026

Masalahnya

Pukul 3 pagi, seseorang jalankan kubectl delete pada kedai anda. Kluster kata boleh. Soalan apa patut ia tanya dulu?

Tengok

Ketik setiap titik pada garis masa.

Setiap arahan kubectl ketuk pintu API server. Tiga pintu berdiri di situ, satu demi satu. Tekan setiap pintu.

Tengok

Anda di sini: kluster kind-dev namespace default

Pintu 1 ialah authentication: Pintu 1, semakan ID: "Siapa anda?" Sijil atau token membuktikannya. (semakan identiti). Ia baca kad ID anda, lalu tahu nama dan kumpulan anda. kubectl auth whoami tunjuk apa yang pintu 1 nampak.

Cuba

Pintu mana yang halang setiap satu? Asingkan.

Seret kad ke dalam kotak. Atau ketik kad, kemudian ketik kotak.

        Cuba

        Berlakon jadi bot CI. Minta secret daripada kluster.

        Anda di sini: kluster kind-dev namespace default
        dev-control-planeBukaPengurus

        Tiada dulang di sini.

        dev-workerBuka

        Tiada dulang di sini.

        dev-worker2Buka

        Tiada dulang di sini.

        Masa: +0s (dipercepat)

        Semak

        Tiga ralat sebenar. Setiap satu datang dari pintu berbeza.

        Tekan ralat dari pintu 2.

        0 daripada 1 dijumpai

        Maksud mudah: Unauthorized ialah pintu 1. Forbidden dengan “cannot” ialah pintu 2. Forbidden dengan “violates” ialah pintu 3.

        Teka

        Pintu 2 kata boleh: anda boleh cipta pod. Bolehkah pintu 3 masih kata tidak?

        Anda berjaya!

        Kini anda boleh namakan tiga pintu yang setiap permintaan lalui.

        Nak tahu lebih (pilihan)

        Kubernetes tiada objek pengguna. Orang datang melalui sijil atau penyedia log masuk (OIDC). Robot guna ServiceAccount, iaitu objek. Pintu 3 ada dua bahagian. Mutating admission boleh ubah objek anda. Kemudian validating admission semaknya. Bacaan seperti get tak lalu pintu 3.

        Misi sebenar

        2. kubectl auth whoami
        3. kubectl get secrets --as=system:serviceaccount:default:default

        0 daripada 3 langkah siap · Tanda anda disimpan.