如何为 DevOps 管道验证和访问 Kubernetes 集群？

Question

通常你会怎么做ibmcloud login？ibmcloud ks cluster-config mycluster? 复制并粘贴export KUBECONFIG=，然后您就可以运行您的kubectl命令了。

但是，如果这是为 IBM Cloud 之外的一些自动化 DevOps 管道完成的，那么获得身份验证和访问集群的方法是什么？

Answer 1

您不应将 kubeconfig 复制到管道中。相反，您可以创建一个具有特定命名空间权限的服务帐户，然后使用其凭据访问集群。

我所做的是创建一个服务帐户和角色绑定，如下所示：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: gitlab-tez-dev # account name
  namespace: tez-dev #namespace

---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tez-dev-full-access #role
  namespace: tez-dev
rules:
  - apiGroups: ["", "extensions", "apps"]
    resources: ["deployments", "replicasets", "pods", "services"] #resources to which permissions are granted
    verbs: ["*"] # what actions are allowed
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tez-dev-view
  namespace: tez-dev
subjects:
  - kind: ServiceAccount
    name: gitlab-tez-dev
    namespace: tez-dev
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: tez-dev-full-access

然后，您可以使用以下方法获取服务帐户的令牌：

kubectl describe secrets -n <namespace> gitlab-tez-dev-token-<value>

输出：

Name:         gitlab-tez-dev-token-lmlwj
Namespace:    tez-dev
Labels:       <none>
Annotations:  kubernetes.io/service-account.name: gitlab-tez-dev
              kubernetes.io/service-account.uid: 5f0dae02-7b9c-11e9-a222-0a92bd3a916a

Type:  kubernetes.io/service-account-token

Data
====
ca.crt:     1042 bytes
namespace:  7 bytes
token: <TOKEN>

在上面的命令中，namespace是您创建帐户的命名空间， 是您在执行value时将看到的唯一值

kubectl get secret -n <namespace>

将令牌复制到您的管道环境变量或配置，然后您可以在管道中访问它。例如，在 gitlab 中我做的（只有这里相关的部分）：

k8s-deploy-stage:
  stage: deploy
  image: lwolf/kubectl_deployer:latest
  services:
    - docker:dind
  only:
    refs:
      - dev
  script:
     ######## CREATE THE KUBECFG ##########
    - kubectl config set-cluster ${K8S_CLUSTER_NAME} --server=${K8S_URL}
    - kubectl config set-credentials gitlab-tez-dev --token=${TOKEN}
    - kubectl config set-context tez-dev-context --cluster=${K8S_CLUSTER_NAME} --user=gitlab-tez-dev --namespace=tez-dev
    - kubectl config use-context tez-dev-context
    ####### NOW COMMANDS WILL BE EXECUTED AS THE SERVICE ACCOUNT #########
    - kubectl apply -f deployment.yml
    - kubectl apply -f service.yml
    - kubectl rollout status -f deployment.yml